Gemstone-Source

Grav before 2.0.4 fails to restrict cURL protocols in webhook dispatch, allowing authenticated users with api.webhooks.write permission to create webhooks with file://, dict://, or gopher:// URLs. Attackers can trigger webhook events to read local files, access process information, or pivot to internal services via unrestricted protocol handlers.

Grav before 2.0.4 contains a regular expression denial of service (ReDoS) vulnerability in the regex replace filter and function, which are allowlisted in the Twig content sandbox. When Twig processing in page content is enabled (security.twig content.process enabled: true, disabled by default), an authenticated page editor can supply a catastrophically backtracking PCRE pattern that is passed directly to PHP's preg replace(), causing unbounded CPU consumption and denial of service to the web server process.

**Nome do Software Vulnerável e Versões Afetadas** grav-plugin-api versões anteriores a 1.0.4 **Descrição** Um invasor não autenticado pode fazer com que um e-mail de redefinição de senha contenha um link apontando para um servidor sob seu controle. Isso ocorre porque a função `sanitizeHttpUrl()` não verifica o host em relação à própria origem do servidor, checando apenas se o esquema da URL é http ou https. O problema existe no endpoint 'POST /api/v1/auth/forgot-password' através do campo `admin base url`, e também pode ser influenciado pelos cabeçalhos `Referer` ou `Origin`. Se a vítima seguir o link malicioso, o token de redefinição válido é revelado ao invasor, permitindo a tomada total da conta. **Recomendações** Atualize para a versão 1.0.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Grav versão 2.0.0 **Description** Existe um problema onde o validador de XSS blueprint `Security::detectXss()` processa o conteúdo bruto da página antes do processamento do Twig. Se o processamento de conteúdo Twig estiver habilitado através de `twig content.process enabled: true`, um usuário com permissões de API de escrita de página pode burlar o validador usando o operador de concatenação de strings do Twig (~) para criar dinamicamente manipuladores de eventos, tags perigosas ou protocolos. Como o validador vê apenas a expressão Twig e não a saída renderizada final, JavaScript arbitrário pode ser executado nos navegadores dos visitantes quando o conteúdo é renderizado via `{{ page.content|raw }}`. **Recommendations** Atualize o Grav para a versão 2.0.1. Desative a configuração `twig content.process enabled` para impedir o processamento de conteúdo Twig.