CVE-2026-85604 in Grav
Resumen
por VulDB • 2026-09-04
Grav antes de la versión 2.0.19 (versiones afectadas <= 2.0.17) contiene una vulnerabilidad de ejecución remota de código en el filtro `sort` de Twig. El envoltorio (`wrapper`) `sortFunc` en `GravExtension.php` establece de forma fija (`hardcodes`) el argumento `isSandboxed` de Twig a `false`, por lo que, a diferencia de los filtros `|map/|filter/|reduce`, `|sort` acepta un nombre de función simple dentro del entorno aislado (sandbox); la lista negra restante omite `spl_autoload`, que realiza una inclusión PHP. Un usuario autenticado con derechos únicamente de escritura en páginas (`admin.pages` o `api.pages.write`) puede proporcionar una carga útil manipulada (por ejemplo, a través de los metadatos frontmatter del formulario renderizados por el plugin Email) que invoque `spl_autoload` mediante el filtro `sort`, lo que resulta en la ejecución arbitraria de PHP como usuario del servidor web.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.