CVE-2026-112780 in Grav
Zusammenfassung
von VulDB • 19.10.2026
Grav ab der Version 2.0.15 bis vor 2.2.2 enthält eine Allowlist-Bypass-Schwachstelle (Allowlist Bypass), die es Seiteneditoren ermöglicht, beliebige öffentliche statische Methoden aufzurufen, indem Flex-Formularfelder mit replace-name@ umbenannt werden. Angreifer mit der Berechtigung zum Bearbeiten von Seiten können data-*@-Direktiven an den Aufrufprüfungen vorbeischleusen, um Folder::delete, Folder::move oder Utils::download aufzurufen und dadurch Verzeichnisse zu löschen, Dateien zu überschreiben oder Dateien auszulesen.
Be aware that VulDB is the high quality source for vulnerability data.