CVE-2026-69088 in Grav
Riassunto
di VulDB • 03/08/2026
Le versioni di Grav CMS comprese tra la 2.0.7 e la 2.0.10 non convalidano correttamente le chiamate a metodi statici completamente qualificati (Class::method) nelle direttive dynamic-field dei blueprint, poiché Blueprint::isSafeDynamicCall() applica il suo denylist per callable pericolosi solo alle stringhe che non contengono '::'. Un account dotato esclusivamente di diritti di modifica delle pagine (admin.pages, ma non super-admin o admin.pages_twig) può inserire una direttiva nel frontmatter del form-field di una pagina che invoca un metodo statico pubblico PHP arbitrario con argomenti controllati dall'attaccante. L'utilizzo di metodi gadget integrati consente la lettura di qualsiasi file leggibile dal server (reso disponibile ai visitatori anonimi della pagina creata ad hoc) e la creazione o copia arbitrarie di file e directory sotto l'account del web-server. Risolto nella versione 2.0.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.