Grav 1.7.53.6 siết quyền đọc dữ liệu gỡ lỗi Clockwork

Website dùng Clockwork cần kiểm tra lại quyền đọc dữ liệu

Grav công bố bản 1.7.53.6 lúc 04:20 UTC ngày 24/10/2026, bắt buộc cấu hình token để đọc dữ liệu gỡ lỗi Clockwork. Quy định mới áp dụng cả với yêu cầu đi vào từ chính máy chủ. Đơn vị vận hành website bật Clockwork, nhất là khi đặt máy chủ chuyển tiếp trên cùng máy, nên kiểm tra và cập nhật nhánh Grav đang dùng.

Ghi chú trong mã nguồn mang ngày 23/10, còn trang phát hành mang ngày 24/10. Đây là bản sửa vừa được đưa sang nhánh 1.x; bài ngày 26/10 không coi ngày biên tập là ngày phát hiện lỗ hổng. Nguồn phát hành không công bố mã CVE, điểm nghiêm trọng hay bằng chứng khai thác thực tế cho thay đổi này.

Vì sao yêu cầu từ cùng máy vẫn cần xác thực?

Clockwork thu thập thông tin để lập trình viên tìm nguyên nhân website chậm hoặc lỗi. Dữ liệu chẩn đoán có thể chứa chi tiết cấu hình, yêu cầu và hoạt động ứng dụng, nên cần giới hạn người được đọc. Nội dung thực tế phụ thuộc cách bật gỡ lỗi và chế độ che dữ liệu nhạy cảm.

Ở bản 1.7.53.5 được đối chiếu trong thay đổi mã nguồn, yêu cầu từ địa chỉ loopback có thể được cho qua khi thiếu thông tin xác thực. Loopback là địa chỉ máy tự gọi chính nó. Tuy nhiên, một proxy trên cùng máy cũng có thể nhận yêu cầu từ internet rồi chuyển tiếp vào Grav với địa chỉ nguồn như vậy.

Bản 1.7.53.6 bỏ ngoại lệ này. Token cấu hình trống thì mọi yêu cầu đọc hồ sơ đều bị từ chối; có token thì người gọi phải gửi thông tin xác thực hợp lệ. Việc đăng nhập trang quản trị không tự thay thế kiểm tra này, vì điểm đọc hồ sơ được xử lý trước một số lớp ứng dụng.

Phạm vi ảnh hưởng cần đối chiếu với cấu hình thật

Nhóm cần ưu tiên là website nhánh Grav 1.x có dùng Clockwork và cho phép tuyến dữ liệu chẩn đoán đi qua proxy. Thay đổi được xác nhận trực tiếp khi so sánh 1.7.53.5 với 1.7.53.6. Nhà phát triển không nêu một dải phiên bản ảnh hưởng đầy đủ trong bản tin này; doanh nghiệp không nên suy ra mọi website Grav đều đã lộ dữ liệu.

Rủi ro được xử lý là quyền đọc dữ liệu chẩn đoán. Nguồn này không chứng minh lỗi thực thi mã từ xa hoặc một vụ xâm nhập tại doanh nghiệp cụ thể. Friday Works khuyến nghị xem lại nhật ký truy cập nếu trước đây đã mở trình gỡ lỗi cho môi trường công khai, đồng thời xử lý riêng các bản vá của PHP và máy chủ web.

Cập nhật và kiểm tra theo thứ tự nào?

Trước khi nâng cấp, sao lưu nội dung, cấu hình, plugin và tài khoản; thử khôi phục một bản sao. Đối chiếu phiên bản Grav thực tế, chọn gói 1.7.53.6 cho nhánh 1.x và kiểm tra khả năng tương thích của plugin. Không đổi sang nhánh 2.x chỉ để bỏ qua quy trình kiểm thử.

Nếu không cần chẩn đoán trên môi trường thật, tắt debugger và chặn tuyến Clockwork ở proxy. Nếu cần dùng, cấu hình token riêng, đủ ngẫu nhiên, giới hạn nguồn truy cập và bật che dữ liệu nhạy cảm. Không đặt token vào ảnh hướng dẫn, URL công khai hoặc tài liệu gửi rộng rãi.

Sau cập nhật, thử trên hệ thống mình quản lý: yêu cầu thiếu hoặc sai token phải bị từ chối, kể cả khi đi qua proxy cùng máy; yêu cầu hợp lệ mới đọc được hồ sơ khi debugger đang bật. Kiểm tra lại từ đường truy cập bên ngoài đã cho phép, vì thử trực tiếp localhost chưa mô phỏng đầy đủ proxy. Lưu phiên bản, cấu hình đã che bí mật và kết quả đối chiếu làm bằng chứng.

Bản sửa tên URL có dấu cũng cần một bước rà soát

Cùng phiên bản này, Grav sửa cách chuyển tên có dấu thành chữ thường trên PHP 7.3–8.1 khi ngôn ngữ website sử dụng locale một byte. Mã cũ có thể làm hỏng từng byte của ký tự UTF-8; cách mới chỉ chuyển A–Z, giữ nguyên các byte còn lại. Đây là điều kiện cụ thể, không có nghĩa mọi URL tiếng Việt trước đó đều sai.

Đội nội dung nên thử tạo một trang mẫu có ký tự ngoài tiếng Anh, kiểm tra đường dẫn, canonical và liên kết nội bộ trên bản sao. Giữ nguyên URL đang có người dùng nếu chưa có kế hoạch chuyển hướng. Thay đổi cách tạo slug không tự chứng minh thứ hạng tìm kiếm sẽ tăng; giá trị trước mắt là tránh tạo thêm đường dẫn lỗi.

Bước tiếp theo

Friday Works khuyến nghị thử trên bản sao và lưu bằng chứng trước khi áp dụng vào hệ thống đang phục vụ khách hàng.