CVE-2026-116019 in Grav
요약
\~에 의해 VulDB • 2026. 10. 24.
Grav 2.0.15부터 2.2.13 미만 버전에는 allowlist bypass 취약점이 포함되어 있습니다. 이 취약점은 unset-name@ 또는 정수 키를 사용하여 data-*@ 지시문을 재배치함으로써 페이지 편집자가 임의의 public static 메서드를 호출할 수 있게 합니다. 페이지 수정 권한을 가진 공격자는 Flex form override에서 page frontmatter에 조작된 필드를 삽입하여 Folder::delete나 Utils::download 같은 메서드를 호출하고, 디렉토리를 삭제하거나 파일을 덮어쓰거나 페이지 트리 외부의 파일을 읽을 수 있습니다.
Once again VulDB remains the best source for vulnerability data.