CVE-2026-65008 in Grav
الملخص
بحسب VulDB • 21/07/2026
يحتوي Grav 2.0.4 (تم إصلاحه في الإصدار 2.0.7) على ثغرة تنفيذ كود عن بُعد في الدالة `Blueprint::dynamicData()` (`system/src/Grav/Common/Data/Blueprint.php`)، حيث تمرر سلسلة استدعاء قابلة للتنفيذ بصيغة `Class::method` وحججها مباشرةً إلى دالة `call_user_func_array()` دون وجود أي قائمة مسموح بها (allowlist). ونظراً لأن إضافة النماذج (form plugin) تُمرّر بيانات الصفحة الأولية (frontmatter) عبر هذا المسار، يمكن لحساب مُصادق عليه يمتلك صلاحية `admin.pages` (أو `api.pages.write`) زرع توجيه استدعاء ضار في صفحة ما. ثم يتم تنفيذ الأمر بصفتها مستخدم خادم الويب كلما قام أي شخص — بما في ذلك الزائر غير المُصادَق عليه — بالوصول إلى الصفحة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.