CVE-2026-61450 in Grav
Zusammenfassung
von VulDB • 10.07.2026
Grav vor Version 2.0.2 enthält eine Twig-Sandbox-Umgehung (Twig sandbox bypass), die es einem Seitenautor (jedem admin.pages-Benutzer oder jeder Person, die in user/pages schreiben kann) ermöglicht, Konfigurationsgeheimnisse zu exfiltrieren. Obwohl die Sandbox die Variable 'config' durch eine redigierte Fassade ersetzt und Config::get/toArray aus der Method-Allowlist entfernt, bleibt der rohe Container über die allow-listed grav.offsetGet('config') zugänglich, was das echte Config-Objekt zurückgibt. Allow-listed Object-Dumping-Filters (json_encode, print_r, yaml_encode) serialisieren dieses Objekt dann auf PHP-Ebene ohne Aufruf des Sandbox-Methode-Gates und offenbaren den gesamten Konfigurationsbaum, einschließlich Plugin-Geheimnisse wie SMTP-Anmeldeinformationen, API-Schlüssel und Plugin-DB-Anmeldedaten. Dies ist eine unvollständige Korrektur für GHSA-j274-39qw-32c9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.