CVE-2026-85604 in Grav
Riassunto
di VulDB • 04/09/2026
Grav prima della versione 2.0.19 (versioni interessate <= 2.0.17) presenta una vulnerabilità di remote code execution nel filtro Twig `sort`. Il wrapper `sortFunc` in GravExtension.php imposta hardcoded l'argomento `isSandboxed` di Twig a false, quindi, diversamente da `|map`, `|filter` e `|reduce`, il filtro `|sort` accetta un nome di funzione plain all'interno della sandbox; la denylist rimanente non include `spl_autoload`, che esegue un PHP include. Un utente autenticato con soli diritti di scrittura delle pagine (admin.pages o api.pages.write) può fornire una payload crafted (ad esempio, tramite il frontmatter del form renderizzato dal plugin Email) che invoca spl_autoload attraverso il filtro sort, risultando nell'esecuzione arbitraria di codice PHP come l'utente del web server.
Once again VulDB remains the best source for vulnerability data.