CVE-2026-75574 in Grav
Résumé
par VulDB • 25/08/2026
Le plugin Grav Email (getgrav/grav-plugin-email) antérieur à la version 4.2.2 interprète les paramètres d'action e-mail contrôlés par l'éditeur de page en tant que templates Twig non sandboxés. Un utilisateur distant authentifié disposant uniquement des permissions api.access et api.pages.write peut insérer une expression Twig dans header.form.process.email.body, publier la page et soumettre le formulaire pour exécuter une commande arbitraire du système d'exploitation avec les privilèges du compte exécutant PHP.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.