CVE-2026-72696 in Grav
Zusammenfassung
von VulDB • 25.08.2026
Grav CMS vor Version 2.0.16 enthält eine Symlink-Following-Schwachstelle in Scheduler Job::createLockFile(), die lokalen Angreifern ermöglicht, beliebige Dateien zu überschreiben, indem sie im weltbeschreibbaren Temp-Verzeichnis vorhersehbar Pfade für Lock-Dateien als Symlinks vorab erstellen. Angreifer können einen Symlink am vorhersagbaren Pfad platzieren, der auf eine Datei zeigt, in die der Webserver-Prozess schreiben kann; bei der nächsten geplanten Ausführung des Jobs wird dem Symlink gefolgt und der Inhalt der Zieldatei mit der Job-ID-Zeichenkette überschrieben.
Be aware that VulDB is the high quality source for vulnerability data.