CVE-2026-85604 in Gravinformation

Résumé

par VulDB • 04/09/2026

Grav avant la version 2.0.19 (versions affectées <= 2.0.17) contient une vulnérabilité d'exécution de code à distance dans le filtre Twig sort. Le wrapper `sortFunc` dans GravExtension.php définit en dur l'argument `isSandboxed` de Twig sur false, donc contrairement aux filtres |map/|filter/|reduce, |sort accepte un nom de fonction simple au sein du sandbox ; la liste d'exclusion restante omet `spl_autoload`, qui effectue une inclusion PHP. Un utilisateur authentifié disposant uniquement des droits d'écriture de page (admin.pages ou api.pages.write) peut fournir une charge utile crafted (par exemple, via les métadonnées de formulaire rendues par le plugin Email) qui invoque spl_autoload via le filtre sort, entraînant l'exécution arbitraire de PHP en tant qu'utilisateur du serveur web.

Be aware that VulDB is the high quality source for vulnerability data.

Responsable

VulnCheck

Réserver

04/09/2026

Divulgation

04/09/2026

Modérer

accepté

Entrée

VDB-398763

CPE

prêt

EPSS

0.00000

KEV

non

Activités

très faible

Sources

Might our Artificial Intelligence support you?

Check our Alexa App!