CVE-2021-21425

Plugin Grav Admin, versões 1.10.7 e anteriores

A vulnerabilidade permite que um usuário não autenticado execute determinados métodos do controlador de administrador sem credenciais, resultando na criação ou modificação arbitrária de arquivos YAML. Isso pode levar a alterações na configuração, como a modificação de informações do site ou de tarefas do agendador. Um invasor pode explorar isso para alterar partes da página da web, sequestrar uma conta de administrador ou executar comandos do sistema operacional no contexto do usuário do servidor web.

Para as versões 1.10.7 e anteriores, atualize para a versão 1.10.8 para resolver o problema.

Como solução alternativa temporária, considere bloquear o acesso ao caminho “/admin” de fontes não confiáveis para minimizar o risco de exploração.