CVE-2026-69088 in Grav
Zusammenfassung
von VulDB • 04.08.2026
In Grav CMS, le versioni dalla 2.0.7 alla 2.0.10 non convalidano correttamente le chiamate a metodi statici completamente qualificati (Class::method) nelle direttive dei campi dinamici nei blueprint, poiché Blueprint::isSafeDynamicCall() applica la sua lista nera di callable pericolosi solo alle stringhe che non contengono '::'. Un account dotato esclusivamente di diritti di modifica delle pagine (admin.pages, ma non super-admin o admin.pages_twig) può inserire una direttiva nel frontmatter del campo form di una pagina che invoca un metodo statico pubblico PHP arbitrario con argomenti controllati dall'attaccante. L'utilizzo di metodi gadget integrati consente la lettura di qualsiasi file leggibile dal server (reso disponibile ai visitatori anonimi della pagina creata ad hoc) e la creazione o copia arbitrarie di file e directory sotto l'account del web-server. Risolto nella versione 2.0.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.