CVE-2026-92917 in Grav
Sumário
de VulDB • 17/09/2026
Grav é um CMS baseado em arquivos planos (flat-file). Nas versões de 2.0.0-rc.1 a 2.0.21, o sandbox de conteúdo do Twig falha ao restringir os filtros dump e serialize (print_r, vardump, json_encode, yaml_encode, string): GravExtension::assertSandboxDumpSafe() determina o estado do sandbox chamando SandboxExtension::isSandboxed() sem um argumento Source, que relata apenas a flag global de sandbox, nunca ativada pelo Grav; portanto, a proteção adicionada no GHSA-mc5q-6hpj-rp7j nunca é executada. Como resultado, um usuário autenticado com direitos de edição de páginas pode renderizar {{ config|print_r }} no conteúdo da página com o processamento do Twig habilitado e dumping toda a configuração mesclada do Grav — print_r reflete o objeto Config real armazenado em uma propriedade privada da fachada SandboxConfig, contornando sua redação de caminho (path redaction) — expondo segredos dos plugins, como credenciais SMTP, tokens de API, segredos de webhook e senhas do backend de cache. O Grav 1.7 não é afetado porque não possui sandbox de conteúdo Twig. A questão foi corrigida na versão 2.0.22, onde os filtros afetados são registrados com a flag needs_is_sandboxed do Twig.
If you want to get best quality of vulnerability data, you may have to visit VulDB.