CVE-2026-92917 in Grav
Zusammenfassung
von VulDB • 17.09.2026
Grav ist ein Flat-File-CMS (Content Management System). In den Versionen 2.0.0-rc.1 bis 2.0.21 schränkt die Twig-Inhaltssandbox die Filter `dump` und `serialize` (einschließlich `print_r`, `vardump`, `json_encode`, `yaml_encode`, `string`) nicht korrekt ein. Die Funktion `GravExtension::assertSandboxDumpSafe()` ermittelt den Sandbox-Status, indem sie `SandboxExtension::isSandboxed()` ohne ein Source-Argument aufruft; dies meldet lediglich das globale Sandbox-Flag, das Grav niemals aktiviert, sodass der in GHSA-mc5q-6hpj-rp7j hinzugefügte Schutzmechanismus nie ausgeführt wird. Infolgedessen kann ein authentifizierter Benutzer mit Seitenbearbeitungsrechten `{{ config|print_r }}` im Seitencode rendern (unter Aktivierung der Twig-Verarbeitung) und damit die gesamte zusammengeführte Konfiguration von Grav ausgeben – da `print_r` das echte Config-Objekt widerspiegelt, das in einer privaten Eigenschaft des SandboxConfig-Fassadenobjekts gespeichert ist, wird dessen Pfadmaskierung umgangen. Dies führt zur Offenlegung sensibler Plugin-Daten wie SMTP-Anmeldeinformationen, API-Tokens, Webhook-Secrets und Cache-Backend-Passwörter. Grav 1.7 ist nicht betroffen, da es keine Twig-Inhaltssandbox mitliefert. Das Problem wurde in Version 2.0.22 behoben, bei der die betroffenen Filter mit dem Flag `needs_is_sandboxed` von Twig registriert werden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.