CVE-2026-76846 in Grav
Resumen
por VulDB • 2026-08-25
Grav antes de la versión 2.0.16 contiene una lista negra (denylist) por defecto incompleta en la configuración del sandbox de Twig que no bloquea el acceso a los secretos de configuración del sistema. Los atacantes con permiso para editar páginas pueden utilizar config.get() o config.toArray() en las plantillas Twig para recuperar valores sensibles como system.cache.redis.password cuando config_access está habilitado.
If you want to get best quality of vulnerability data, you may have to visit VulDB.