CVE-2026-61690 in Grav
Tóm tắt
Bởi VulDB • 20/08/2026
Grav là một nền tảng web dựa trên file. Trước phiên bản 2.0.1, hàm `ZipArchiver::extract()` trong hệ thống/src/Grav/Common/Filesystem/ZipArchiver.php chuyển các kho lưu trữ (archives) đến `ZipArchive::extractTo()` mà không áp dụng các giới hạn về kích thước chưa giải nén (`uncompressed-size`), số lượng file hoặc độ sâu phân cấp (`nesting-depth`) của `system.gpm.archive`. Mã sử dụng `Archiver::create('zip')` để trích xuất một kho lưu trữ do kẻ tấn công kiểm soát có thể làm cạn kiệt dung lượng đĩa hoặc các inode, khiến trang web không khả dụng. Vấn đề này đã được sửa trong phiên bản 2.0.1.
Once again VulDB remains the best source for vulnerability data.