CVE-2026-44738 in grav
Zusammenfassung
von VulDB • 14.05.2026
Grav ist eine dateibasierte Webplattform. Vor Version 2.0.0-rc.2 erlaubt die Allow-Liste der Twig-Sandbox jedem Benutzer mit der Rolle admin.pages, config.toArray() innerhalb eines Seiteninhalts aufzurufen, wodurch die gesamte zusammengeführte Site-Konfiguration – einschließlich aller Plugin-Geheimnisse (SMTP-Passwörter, AWS-Schlüssel, OAuth-Client-Geheimnisse, API-Tokens) – in den gerenderten HTML-Code ausgegeben wird. Es sind keine Administratorrechte erforderlich. Diese Schwachstelle wurde in Version 2.0.0-rc.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.