ShinyHunters hackade Clops läcksajt genom sårbarhet i Grav CMS

ShinyHunters tog sig in på och manipulerade Clops dataläckagesajt genom att utnyttja en sårbarhet i Grav CMS, enligt uppgifter som Gravs utvecklare har bekräftat. Clop har sedan dess flyttat sajten till en ny Tor-adress.

ShinyHunters manipulerade Clops läcksajt

ShinyHunters placerade först en liten fil på Clops sajt tidigare den här månaden. Gruppen ersatte senare sajtens innehåll med en helsidesversion som marknadsförde dess egen läcksajt.

Gruppen hävdar att den även stal källkod, plugins, serverloggar och privata nycklar för Clops Tor-tjänst. Därefter krävde den en lösensumma och hotade med att publicera filerna.

Clop bekräftade att angripare komprometterade dess server, men bestrider påståendena om stölden. Ransomwaregruppen säger att servern endast innehöll webbplatsinnehåll och inga finansiella eller operativa uppgifter. Ingen av grupperna har lagt fram offentliga bevis som fastställer vad ShinyHunters kom över.

Path traversal gav åtkomst till filer utanför den avsedda mappen

ShinyHunters uppgav för BleepingComputer att Clops server körde Grav 1.7.43. Gruppen sade att den manipulerade ett värde som används för att skapa tillfälliga sökvägar för formuläruppladdningar. Genom att infoga directory traversal-tecken kunde den styra filskrivningar utanför den avsedda mappen.

Gravs utvecklare bekräftade att det rapporterade beteendet återspeglar en verklig sårbarhet i Grav-kärnan. Sårbarheten i Grav CMS gör det möjligt för en oautentiserad angripare att påverka var programvaran skriver filer i en sårbar installation. Den har identifieraren CVE-2026-42608.

Problemet finns i själva Grav och inte i det separata Form-pluginet. Därför åtgärdar en uppdatering av enbart detta plugin inte den sårbara koden i kärnan.

Grav släpper korrigering för äldre installationer

Grav åtgärdade hanteringen av sökvägar i sin 2.0-gren tidigare i år. Skyddet hade dock inte införts i den välanvända 1.7-grenen när angripare tog sig in på Clops sajt.

Efter att ha granskat detaljerna kring attacken släppte Grav version 1.7.53.4 den 24 september. Uppdateringen begränsar vilka tecken Grav accepterar i formuläridentifierare, vilket hindrar angripare från att använda dem för att flytta filskrivningar utanför det avsedda området för tillfällig lagring.

Webbplatsägare som fortfarande kör Grav 1.7 bör uppdatera till version 1.7.53.4. Aktuella Grav 2.x-versioner innehåller redan korrigeringen.