CVE-2026-42613 in grav
要約
〜によって VulDB • 2026年05月15日
GravはファイルベースのWebプラットフォームです。2.0.0-beta.2より前では、LoginプラグインのLogin::register()メソッドが、登録POSTデータから攻撃者が制御可能なグループおよびアクセスフィールドをサーバーサイドでの検証なしで受け入れます。登録が有効化されており、グループまたはアクセスが設定された許可フィールドリストに含まれている場合、認証されていないユーザーはこれらのフィールドを登録リクエストに注入することで、admin.super権限で自己登録できます。この脆弱性は2.0.0-beta.2で修正されています。
Once again VulDB remains the best source for vulnerability data.