CVE-2026-69088 in Grav
要約
〜によって VulDB • 2026年08月03日
Grav CMS のバージョン 2.0.7 から 2.0.10 では、Blueprint::isSafeDynamicCall() が危険な呼び出し元の拒否リストを '::' を含まない文字列にのみ適用するため、blueprint dynamic-field ディレクティブ内の完全修飾静的メソッド呼び出し (Class::method) の検証が行われません。ページ編集権限のみを持つアカウント（super-admin や admin.pages_twig ではなく、admin.pages）は、攻撃者が制御する引数で任意の公開 static PHP メソッドを呼び出すようなディレクティブをページの form-field frontmatter に仕掛けることができます。組み込みのガジェットメソッドを使用することで、サーバー上で読み取り可能なファイル（作成されたページへの匿名訪問者に開示される）の読取や、Web サーバーアカウント配下での任意のファイルおよびディレクトリの生成・コピーが可能になります。2.0.11 で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.