PT-2026-61740 · Grav Cms · Scheduler-Webhook

Saidakbarxon Maxsudxonov · CVE-2026-57852 · Publicado 2026-07-20 · Atualizado 2026-07-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.6

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Grav CMS scheduler-webhook plugin (versões afetadas não especificadas)

Description Existe uma falha de bypass de autenticação no plugin scheduler-webhook devido a um erro de lógica de curto-circuito na validação do token do webhook. Isso permite que atacantes remotos não autenticados acionem tarefas agendadas configuradas ao enviar uma requisição POST para o endpoint do scheduler webhook. Atacantes podem executar todas as tarefas configuradas ou alvejar uma específica, resultando na execução não pretendida de comandos definidos pelo operador sob os privilégios do usuário do processo do servidor web.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-303

Identificadores relacionados

CVE-2026-57852

Produtos afetados

Scheduler-Webhook

Referências · 7

• https://github.com/getgrav/grav/security/advisories/GHSA-xwv3-2mv2-w33x · Nota
• https://github.com/getgrav/grav · Nota
• https://twitter.com/VulmonFeeds/status/2079437651736764799 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-57852 · Nota de Segurança
• https://vulncheck.com/advisories/authentication-bypass-via-null-short-circuit-in-grav-cms-scheduler-webhook-token-check · Nota
• https://twitter.com/CVEnew/status/2079350882911551571 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2079352210312323153 · Publicação no Twitter