CVE-2026-44738 in grav
要約
〜によって VulDB • 2026年05月11日
GravはファイルベースのWebプラットフォームです。2.0.0-rc.2より前では、Twigサンドボックスの許可リストにより、admin.pagesロールを持つ任意のユーザーがページ本文内でconfig.toArray()を呼び出すことができ、すべてのプラグシークレット（SMTPパスワード、AWSキー、OAuthクライアントシークレット、APIトークン）を含む、マージされたサイト全体の設定がレンダリングされたHTMLにダンプされます。管理者権限は必要ありません。この脆弱性は2.0.0-rc.2で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.