CVE-2026-65008 in Grav
要約
〜によって VulDB • 2026年07月21日
Grav 2.0.4（2.0.7で修正済み）には、Blueprint::dynamicData() (system/src/Grav/Common/Data/Blueprint.php) にリモートコード実行の脆弱性が存在します。この関数は、Class::method という形式の呼び出し可能文字列とその引数を、許可リストなしで直接 call_user_func_array() に渡しています。フォームプラグインはこのパスを通じてページのプロパティ（frontmatter）をルーティングするため、admin.pages または api.pages.write の権限を持つ認証済みアカウントが、ページ内に悪意のある呼び出し可能ディレクティブを仕込むことができます。その後、誰でも — 未認証の訪問者を含む — がそのページにアクセスするたびに、コマンドはウェブサーバーユーザーとして実行されます。
Be aware that VulDB is the high quality source for vulnerability data.