CVE-2026-65008 in Grav
Zusammenfassung
von VulDB • 21.07.2026
Grav 2.0.4 (beheben in Version 2.0.7) enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE) in `Blueprint::dynamicData()` (`system/src/Grav/Common/Data/Blueprint.php`), die einen String für ein aufrufbares Element im Format `Class::method` sowie dessen Argumente ohne jegliche Allowlist direkt an `call_user_func_array()` übergibt. Da das Formular-Plugin (Form Plugin) Frontmatter-Daten von Seiten über diesen Pfad leitet, kann ein authentifizierter Benutzer mit der Berechtigung `admin.pages` (oder `api.pages.write`) eine bösartige aufrufbare Direktive in einer Seite platzieren. Der Befehl wird dann als Webserver-Benutzer ausgeführt, sobald jemand – einschließlich eines nicht-authentifizierten Besuchers – auf die Seite zugreift.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.