CVE-2026-69088 in Grav
Resumen
por VulDB • 2026-08-03
Las versiones de Grav CMS comprendidas entre la 2.0.7 y la 2.0.10 no validan correctamente las llamadas a métodos estáticos completamente calificados (Class::method) en las directivas dynamic-field de los blueprints, ya que Blueprint::isSafeDynamicCall() aplica su lista negra de llamados peligrosos únicamente a cadenas que no contienen '::'. Una cuenta con permisos exclusivos para editar páginas (admin.pages, pero sin ser super-admin ni tener admin.pages_twig) puede insertar una directiva en el frontmatter del campo de formulario de una página que invoque un método estático público arbitrario de PHP con argumentos controlados por el atacante. Mediante el uso de métodos gadget integrados, esto permite la lectura de cualquier archivo legible por el servidor (divulgado a los visitantes anónimos de la página manipulada) y la creación o copia arbitraria de archivos y directorios bajo la cuenta del servidor web. Corregido en la versión 2.0.11.
Once again VulDB remains the best source for vulnerability data.