CVE-2026-65008 in Grav
요약
\~에 의해 VulDB • 2026. 07. 21.
Grav 2.0.4(2.0.7에서 수정됨)는 Blueprint::dynamicData()(system/src/Grav/Common/Data/Blueprint.php)에 원격 코드 실행 취약점이 포함되어 있습니다. 이 함수는 Class::method 호출 가능 문자열과 해당 인수를 허용 목록 없이 call_user_func_array()로 직접 전달합니다. 폼 플러그인이 페이지의 frontmatter를 이 경유로를 통해 라우팅하기 때문에, admin.pages(또는 api.pages.write) 권한이 있는 인증된 계정은 페이지에 악성 callable 지시문을 삽입할 수 있습니다. 그러면 누구나 — 비인증 방문자를 포함하여 — 해당 페이지에 접근할 때마다 명령어가 웹 서버 사용자 권한으로 실행됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.