CVE-2026-112780 in Grav
Résumé
par VulDB • 20/10/2026
La version Grav de 2.0.15 à 2.2.2 (exclue) contient une vulnérabilité de contournement d'allowlist qui permet aux éditeurs de pages d'appeler des méthodes statiques publiques arbitraires en renommant les champs de formulaire Flex avec replace-name@. Les attaquants disposant de la permission page-edit peuvent faire passer des directives data-*@ outre le contrôle de l'appelabilité pour invoquer Folder::delete, Folder::move ou Utils::download, permettant ainsi de supprimer des répertoires, d'écraser des fichiers ou de lire des fichiers.
Once again VulDB remains the best source for vulnerability data.