CVE-2026-65608 in Grav
要約
〜によって VulDB • 2026年07月28日
Grav 1.7.0 以上かつ 2.0.9 より前のバージョンには、リモートコード実行（RCE）の脆弱性が存在します。FlexDirectory::dynamicDataField() は、攻撃者が影響を与えられる入力に対して call_user_func_array() を呼び出すことで blueprint の data-*@: ディレクティブを解決しますが、対象が呼び出し可能であること (is_callable()) しか検証せず、exec、system、passthru、shell_exec などの危険な関数の使用は制限されません。FlexDirectory はこのハンドラをすべての Flex ディレクトリに登録するため、2.0.7 で Blueprint::dynamicData() に追加された検証（GHSA-fj2p-qj2f-74v5）を回避します。任意の Flex ベースディレクトリ（Flex Users、Flex Pages、Flex Objects、またはカスタム Flex タイプ）に対して作成または更新権限を持つ認証済みユーザーであれば、サーバー上で任意のシェルコマンドを実行できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.