- Yama var
- Son 7 gün
- CWE-200
CVE-2026-117604
Grav CMS Clockwork profilleyicisinde yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, web sitenizin yönetim kontrolünü ele geçirilebilecek kadar ciddi bir risk taşımaktadır. Kimlik doğrulaması yapılmadan yönetici parolalarına ve sistem kimlik bilgilerine erişim mümkün olabilir. Güncellemenin hemen yapılması önerilir.
ÖzetTürkçe
Grav CMS'in 1.7.53.3 ile 1.7.53.6 öncesi sürümlerinde, Debugger::isDebuggerRequestAuthorized fonksiyonundaki yetkilendirme kontrolü hatalıdır. Bu nedenle kimliği doğrulanmamış ziyaretçiler /__clockwork/ yolu üzerinden profilleyici verilerini okuyabilmektedir. Ters vekil sunucunun aynı makinede çalıştığı kurulumlarda uzak istekler yerel adresten gelmiş gibi göründüğü için saldırı bu koşulda özellikle kolaylaşmaktadır.
Saldırgan ne yapabilir?
Saldırgan, kayıtlı profilleyici verileri üzerinden yönetici parolalarını düz metin olarak ve yapılandırma kimlik bilgilerini ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
Grav from 1.7.53.3 before 1.7.53.6 contains an authorization bypass in Debugger::isDebuggerRequestAuthorized() that allows unauthenticated visitors to read /__clockwork/ profiler data via a loopback REMOTE_ADDR fallback. Behind a same-host reverse proxy, remote requests appear as loopback, letting attackers read stored records including administrator plaintext passwords and configuration credentials.
Ne yapmalı?
- Grav'i 1.7.53.6 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme sonrasında yönetici parolalarını ve sistemde saklanan API anahtarları ile yapılandırma kimlik bilgilerini değiştirin, çünkü açık süresince bu veriler okunmuş olabilir. Genel öneri
- Ters vekil sunucu yapılandırmasını gözden geçirin ve /__clockwork/ yolunun dış ağdan erişilemeyeceğinden emin olun. Genel öneri
Ek önlemler
- Üretim ortamında hata ayıklama ve profilleyici araçlarını kapatın. Genel öneri
- Web sunucu erişim günlüklerinde /__clockwork/ yoluna yapılan istekleri izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | ≥ 1.7.53.3, < 1.7.53.6 | 1.7.53.6 |
| 1.7.53.6 Etkilenmiyor | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.