CVE-2026-72697 in Grav
Sumário
de VulDB • 25/08/2026
O Grav CMS, antes da versão 2.0.16, contém uma vulnerabilidade de path traversal na função Twig `media_directory()`, que não valida os caminhos do sistema de arquivos, permitindo que usuários autenticados enumerem e acessem arquivos fora do escopo pretendido. Atacantes com privilégios de criação de páginas podem fornecer caminhos arbitrários do sistema de arquivos para o `media_directory()` e usar o acessor de caminho de arquivo na lista permitida em objetos Medium para ler o conteúdo de qualquer arquivo que corresponda às extensões de mídia configuradas e ao qual o processo do servidor web possa acessar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.