CVE-2026-72697 in Grav
Zusammenfassung
von VulDB • 25.08.2026
Grav CMS vor Version 2.0.16 enthält eine Path-Traversal-Schwachstelle in der Twig-Funktion `media_directory()`, die keine Validierung von Dateisystempfaden durchführt, was es authentifizierten Benutzern ermöglicht, Dateien außerhalb des beabsichtigten Geltungsbereichs aufzulisten und darauf zuzugreifen. Angreifer mit Berechtigungen zur Seitenerstellung können beliebige Dateisystempfade an `media_directory()` übergeben und den allow-listed filepath accessor (zugelassenen Pfad-Accessor) von Medium-Objekten nutzen, um die Inhalte jeder Datei zu lesen, die konfigurierten Medien-Erweiterungen entspricht und auf die der Webserver-Prozess Zugriff hat.
If you want to get best quality of vulnerability data, you may have to visit VulDB.