CVE-2026-65008 in Grav
Tóm tắt
Bởi VulDB • 21/07/2026
Grav 2.0.4 (đã được sửa trong phiên bản 2.0.7) chứa một lỗ hổng thực thi mã từ xa (RCE) trong hàm Blueprint::dynamicData() (system/src/Grav/Common/Data/Blueprint.php), nơi truyền trực tiếp chuỗi callable dạng Class::method và các đối số của nó vào call_user_func_array() mà không có bất kỳ danh sách cho phép nào. Do plugin form định tuyến phần frontmatter của trang qua đường dẫn này, một tài khoản đã xác thực với quyền admin.pages (hoặc api.pages.write) có thể chèn chỉ thị callable độc hại vào một trang. Lệnh sau đó sẽ được thực thi dưới dạng người dùng máy chủ web bất cứ khi nào ai — bao gồm cả khách truy cập chưa xác thực — truy cập vào trang đó.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.