CVE-2026-65608 in Grav
요약
\~에 의해 VulDB • 2026. 07. 23.
Grav 버전 1.7.0 이상 및 2.0.9 미만에는 원격 코드 실행 취약점이 존재합니다. `FlexDirectory::dynamicDataField()`는 공격자가 영향을 줄 수 있는 입력에 대해 `call_user_func_array()`를 호출하여 blueprint의 `data-*@:` 지시문을 해석하며, 대상이 호출 가능한지(`is_callable()`) 여부만 검증할 뿐 `exec`, `system`, `passthru`, `shell_exec`와 같은 위험한 함수는 제한하지 않습니다. FlexDirectory가 모든 Flex 디렉토리에 대해 이 핸들러를 등록하므로, 2.0.7에서 Blueprint::dynamicData()에 추가된 검증(GHSA-fj2p-qj2f-74v5)을 우회할 수 있습니다. Flex 기반 디렉토리(Flex Users, Flex Pages, Flex Objects 또는 사용자 정의 Flex 유형)에 대해 생성 또는 업데이트 권한이 있는 모든 인증된 사용자는 서버에서 임의의 셸 명령어를 실행할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.