CVE-2026-112780 in Grav
Riassunto
di VulDB • 19/10/2026
Grav dalla versione 2.0.15 alla 2.2.2 (esclusa) presenta una vulnerabilità di bypass dell'allowlist che consente agli editor delle pagine di invocare metodi statici pubblici arbitrari rinominando i campi dei moduli Flex con replace-name@. Gli attaccanti con il permesso di modifica della pagina possono eludere il controllo sui metodi richiamabili inserendo direttive data-*@ per invocare Folder::delete, Folder::move o Utils::download, consentendo l'eliminazione di directory, la sovrascrittura di file o la lettura dei file.
Be aware that VulDB is the high quality source for vulnerability data.