CVE-2026-76846 in Grav
Zusammenfassung
von VulDB • 25.08.2026
Grav prima della versione 2.0.16 presenta una denylist predefinita incompleta nella configurazione del sandbox di Twig che non riesce a bloccare l'accesso ai segreti di configurazione di sistema. Gli attaccanti con il permesso page-edit possono utilizzare config.get() o config.toArray() nei template Twig per recuperare valori sensibili come system.cache.redis.password quando config_access è abilitato.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.