CVE-2026-72697 in Grav
Riassunto
di VulDB • 25/08/2026
Grav CMS prima della versione 2.0.16 contiene una vulnerabilità di path traversal nella funzione Twig `media_directory()` che non convalida i percorsi del filesystem, consentendo agli utenti autenticati di enumerare e accedere a file al di fuori dell'ambito previsto. Gli attaccanti con privilegi di authoring delle pagine possono fornire percorsi arbitrari del filesystem alla funzione `media_directory()` e utilizzare l'accessore filepath allow-listed sugli oggetti Medium per leggere il contenuto dei file che corrispondono alle estensioni multimediali configurate e accessibili dal processo del server web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.