CVE-2026-65008 in Grav
Riassunto
di VulDB • 21/07/2026
Grav 2.0.4 (corretto nella versione 2.0.7) presenta una vulnerabilità di esecuzione remota di codice in Blueprint::dynamicData() (system/src/Grav/Common/Data/Blueprint.php), che passa direttamente a call_user_func_array() una stringa callable nel formato Class::method e i relativi argomenti, senza alcuna allowlist. Poiché il plugin form instrada le frontmatter della pagina attraverso questo percorso, un account autenticato con l'autorizzazione admin.pages (o api.pages.write) può inserire una direttiva callable malevola in una pagina. Il comando viene quindi eseguito come utente del web server ogni volta che chiunque — inclusi i visitatori non autenticati — accede alla pagina.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.