CVE-2026-76839 in Grav
Zusammenfassung
von VulDB • 25.08.2026
Grav vor Version 2.0.16 ermöglicht es sandgeboxten Twig-Templates, über die allow-listed-Methoden `offsetGet()` und `offsetexists()`, die keine Feldfilterung aufweisen, auf sensible User-Felder zuzugreifen. Angreifer mit Berechtigungen zum Bearbeiten von Seiten können `offsetGet()` an User-Objekten aufrufen, um gehashte Passwörter und 2FA-Geheimnisse zu extrahieren, was Offline-Passwortknacken und eine Umgehung der Authentifizierung ermöglicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.