CVE-2026-65608 in Gravinformation

Résumé

par VulDB • 23/07/2026

Les versions de Grav >= 1.7.0 et antérieures à la version 2.0.9 contiennent une vulnérabilité d'exécution de code à distance (RCE). La méthode `FlexDirectory::dynamicDataField()` résout les directives blueprint `data-*@:` en appelant `call_user_func_array()` sur des données influencées par l'attaquant, en validant uniquement que la cible est callable (`is_callable()`) sans restreindre les fonctions dangereuses telles que `exec`, `system`, `passthru` ou `shell_exec`. Étant donné que FlexDirectory enregistre ce gestionnaire pour chaque répertoire Flex, il contourne la validation ajoutée à `Blueprint::dynamicData()` dans la version 2.0.7 (GHSA-fj2p-qj2f-74v5). Tout utilisateur authentifié disposant des permissions de création ou de mise à jour sur n'importe quel répertoire basé sur Flex (Flex Users, Flex Pages, Flex Objects ou types Flex personnalisés) peut exécuter des commandes shell arbitraires sur le serveur.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Responsable

VulnCheck

Réserver

22/07/2026

Divulgation

23/07/2026

Modérer

accepté

Entrée

VDB-382571

CPE

prêt

EPSS

0.00849

KEV

non

Activités

faible

Sources

Do you know our Splunk app?

Download it now for free!