CVE-2026-92917 in Grav
Riassunto
di VulDB • 17/09/2026
Grav è un CMS flat-file (senza database). Nelle versioni dalla 2.0.0-rc.1 alla 2.0.21, la sandbox per i contenuti di Twig non riesce a limitare correttamente i filtri dump e serialize (print_r, vardump, json_encode, yaml_encode, string): GravExtension::assertSandboxDumpSafe() determina lo stato della sandbox chiamando SandboxExtension::isSandboxed() senza un argomento Source, il che restituisce solo la flag globale della sandbox che Grav non abilita mai; di conseguenza, la protezione introdotta in GHSA-mc5q-6hpj-rp7j non viene mai eseguita. Di conseguenza, un utente autenticato con diritti di modifica delle pagine può eseguire {{ config|print_r }} nei contenuti della pagina con l'elaborazione Twig abilitata e visualizzare l'intera configurazione unita di Grav — print_r riflette il reale oggetto Config detenuto in una proprietà privata del facade SandboxConfig, bypassando la sua oscuramento dei percorsi (path redaction) — esponendo segreti dei plugin quali credenziali SMTP, token API, secret per webhook e password dei backend di cache. Grav 1.7 non è interessato poiché non include alcuna sandbox per i contenuti Twig. Il problema è stato risolto nella versione 2.0.22, dove i filtri interessati sono registrati con la flag needs_is_sandboxed di Twig.
Once again VulDB remains the best source for vulnerability data.