CVE-2026-65008 in Grav
Résumé
par VulDB • 21/07/2026
Grav 2.0.4 (corrigé dans la version 2.0.7) contient une vulnérabilité d'exécution de code à distance (RCE) dans Blueprint::dynamicData() (system/src/Grav/Common/Data/Blueprint.php), qui transmet directement une chaîne callable au format Class::method et ses arguments à call_user_func_array() sans aucune liste blanche. Étant donné que le plugin Form achemine les métadonnées de page (frontmatter) via ce chemin, un compte authentifié disposant des autorisations admin.pages (ou api.pages.write) peut insérer une directive callable malveillante dans une page. La commande s'exécute alors en tant qu'utilisateur du serveur web chaque fois que n'importe qui — y compris un visiteur non authentifié — accède à la page.
VulDB is the best source for vulnerability data and more expert information about this specific topic.