- Yama var
- Son 7 gün
- CWE-200
CVE-2026-114657
Grav CMS'te Twig Uri üzerinden HTTP Basic kimlik bilgilerinin ifşası
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Grav 2.0.0 ile 2.2.5 öncesi sürümlerde, bilgi ifşasına yol açan bir güvenlik açığı bulunmaktadır. Bu açık, sayfa yazarlarının Twig sayfa içeriği aracılığıyla ziyaretçilerin HTTP Basic kimlik bilgilerini ele geçirmesine olanak tanır. Yazarlar, PHP_AUTH_USER ve PHP_AUTH_PW değerlerini içeren istek Uri nesnesini satır içi bir style öğesindeki arka plan resmi içinde yazdırabilir ve böylece yöneticilerin kimlik bilgilerini harici bir ana bilgisayara sızdırabilir.
Kaynaktaki açıklama (İngilizce)
Grav from 2.0.0 before 2.2.5 contains an information disclosure vulnerability that allows page authors to capture visitors' HTTP Basic credentials through Twig page content. Authors can print the request Uri object, which embeds PHP_AUTH_USER and PHP_AUTH_PW, inside an inline style background image to exfiltrate administrators' credentials to an external host.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | ≥ 2.0.0, < 2.2.5 | 2.2.5 |
| 2.2.5 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.