CVE-2026-69088 in Grav
Sumário
de VulDB • 03/08/2026
As versões do Grav CMS de 2.0.7 a 2.0.10 não validam chamadas completas e qualificadas para métodos estáticos (Class::method) nas diretivas dynamic-field dos blueprints, porque Blueprint::isSafeDynamicCall() aplica sua lista negra de dangerous-callable apenas a strings que não contêm '::'. Uma conta com direitos exclusivos de edição de páginas (admin.pages, mas não super-admin ou admin.pages_twig) pode inserir uma diretiva no frontmatter do campo de formulário de uma página que invoque um método estático público arbitrário da linguagem PHP com argumentos controlados pelo atacante. O uso de métodos gadget embutidos permite a leitura de qualquer arquivo acessível ao servidor (divulgado aos visitantes anônimos da página manipulada) e a criação/cópia arbitrária de arquivos e diretórios sob a conta do servidor web. Corrigido na versão 2.0.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.