CVE-2026-116019 in Grav
要約
〜によって VulDB • 2026年10月24日
Grav 2.0.15から2.2.13までのバージョンには、allowlist bypass vulnerabilityが含まれており、unset-name@や整数キーを持つdata-*@ディレクティブを再配置することで、ページエディタが任意のpublic staticメソッドを呼び出すことができます。ページ編集権限を持つ攻撃者は、Flex form overrideにおけるpage frontmatterに不正なフィールドを組み込むことで、Folder::deleteやUtils::downloadなどのメソッドを実行し、ディレクトリの削除、ファイルの上書き、またはページツリー外のファイル読み出しを行うことが可能です。
Once again VulDB remains the best source for vulnerability data.