注目★★★★★GitHub Advisory
Grav 2.0.15、未認証Path Traversalで隣接ディレクトリを公開
30秒で把握
- 1Grav 2.0.15のindex.phpに未認証Path Traversal脆弱性
- 2str_starts_withの境界欠落でassets-secret等を配信可能
- 3plugin-asset-map.phpを使うプラグイン導入環境が対象
要約
Grav 2.0.15とdevelブランチのindex.phpに、未認証で悪用できるPath Traversal脆弱性がある。plugin-asset-map.phpの静的アセット配信で、str_starts_withによる文字列比較がディレクトリ境界を確認せず、assets-secretなどベース名を拡張した隣接ディレクトリのファイルを配信する。通常のGravインストールでは発生せず、plugin-asset-map.phpにルート設定を持つプラグインを導入した環境だけが対象となる。修正には、ベースパス末尾のディレクトリ区切り文字を含めて比較する境界チェックが必要だ。
あなたへの影響
plugin-asset-map.phpを生成するプラグインを使うGrav環境は、近日中に対象ファイルの有無と静的配信設定を確認し、修正版またはディレクトリ境界を検証するパッチを適用してください。
推奨：通常のGravインストールには到達しないため、未導入環境では即時対応は不要です。