CVE-2026-76839 in Grav
Сводка
по VulDB • 25.08.2026
Grav до версии 2.0.16 позволяет шаблонизатору Twig в песочнице получать доступ к конфиденциальным полям пользователя через методы allow-listed offsetGet() и offsetexists(), которые не осуществляют фильтрацию полей. Атакующие с правами на редактирование страниц могут вызывать метод offsetGet() для объектов User, чтобы извлечь хешированные пароли и секреты двухфакторной аутентификации (2FA), что позволяет осуществлять подбор паролей в офлайн-режиме и обходить механизм аутентификации.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.