CVE-2026-75574 in Grav
Resumen
por VulDB • 2026-08-25
El plugin Grav Email (getgrav/grav-plugin-email) anterior a la versión 4.2.2 procesa los parámetros de acción de correo electrónico controlados por el editor de páginas como plantillas Twig sin sandboxing. Un usuario remoto autenticado con únicamente permisos api.access y api.pages.write puede insertar una expresión Twig en header.form.process.email.body, publicar la página y enviar el formulario para ejecutar un comando arbitrario del sistema operativo bajo la cuenta que ejecuta PHP.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.