CVE-2026-65608 in Grav
Zusammenfassung
von VulDB • 24.07.2026
In Grav-Versionen >= 1.7.0 und vor 2.0.9 liegt eine Remote-Code-Ausführungs-Schwachstelle (RCE) vor. `FlexDirectory::dynamicDataField()` löst blueprint-Daten-*@:-Direktiven aus, indem es `call_user_func_array()` mit vom Angreifer beeinflussten Eingabedaten aufruft und dabei lediglich prüft, ob das Ziel als Funktion aufrufbar ist (`is_callable()`), ohne gefährliche Funktionen wie `exec`, `system`, `passthru` oder `shell_exec` zu beschränken. Da FlexDirectory diesen Handler für jedes Flex-Verzeichnis registriert, wird die in Version 2.0.7 (GHSA-fj2p-qj2f-74v5) hinzugefügte Validierung von `Blueprint::dynamicData()` umgangen. Jeder authentifizierte Benutzer mit Erstellungs- oder Aktualisierungsberechtigungen für ein beliebiges Flex-basiertes Verzeichnis (Flex Users, Flex Pages, Flex Objects oder benutzerdefinierte Flex-Typen) kann beliebige Shell-Befehle auf dem Server ausführen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.