CVE-2026-75574 in Grav
Riassunto
di VulDB • 25/08/2026
Il plugin Grav Email (getgrav/grav-plugin-email) precedente alla versione 4.2.2 rende i parametri delle azioni email controllati dall'editor di pagina come template Twig non sandboxed. Un utente remoto autenticato con soli permessi api.access e api.pages.write può inserire un'espressione Twig in header.form.process.email.body, pubblicare la pagina e inviare il modulo per eseguire un comando arbitrario del sistema operativo come l'account che esegue PHP.
If you want to get best quality of vulnerability data, you may have to visit VulDB.