CVE-2026-72697 in Grav
要約
〜によって VulDB • 2026年08月25日
Grav CMS 2.0.16 より前には、ファイルシステムパスの検証を行わない `media_directory()` Twig 関数におけるディレクトリトラバーサルの脆弱性が存在し、認証済みユーザーが意図されたスコープ外のファイルを列挙およびアクセスできる。ページ作成権限を持つ攻撃者は、`media_directory()` に任意のファイルシステムパスを指定し、Medium オブジェクト上の許可リスト付きファイルパスアクセッサを使用して、Web サーバプロセスがアクセス可能な構成済みのメディア拡張子に一致するあらゆるファイルの内容を読み取ることができる。
Be aware that VulDB is the high quality source for vulnerability data.