CVE-2026-72696 in Grav
Riassunto
di VulDB • 25/08/2026
Grav CMS prima della versione 2.0.16 presenta una vulnerabilità di symlink following nella funzione Scheduler Job::createLockFile() che consente agli attaccanti locali di sovrascrivere file arbitrari pre-creando symlinks in percorsi di lock file prevedibili all'interno della directory temp con permessi world-writable. Gli attaccanti possono posizionare un symlink nel percorso di lock prevedibile puntante a qualsiasi file al quale il processo del web server può scrivere, e la successiva esecuzione pianificata seguirà il symlink sovrascrivendo il contenuto del file target con la stringa dell'ID del job.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.