CVE-2026-65008

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 2.5%
CWE: CWE-94
KEV Durumu: Hayır

Yayım tarihi: 21 Temmuz 2026

Grav 2.0.4 (2.0.7'de düzeltildi) Blueprint::dynamicData() (system/src/Grav/Common/Data/Blueprint.php)'de uzaktan kod yürütme zafiyeti içerir. Bu, bir Class::method çağırılabilir dize ve argümanlarını allowlist olmadan doğrudan call_user_func_array()'e geçirir. Form eklentisi sayfa ön bilgisi verilerini bu yola yönlendirdiği için, admin.pages (veya api.pages.write) izni olan bir kimlik doğrulama hesabına sahip bir saldırgan bir sayfaya kötü amaçlı bir çağırılabilir yönerge yerleştirebilir. Komut daha sonra herhangi biri - dahil olmak üzere kimlik doğrulamayı geçmemiş bir ziyaretçi - sayfa erişiminde web-sunucu kullanıcısı olarak çalıştırılır.

Orijinal açıklama (İngilizce)

Grav 2.0.4 (fixed in 2.0.7) contains a remote code execution vulnerability in Blueprint::dynamicData() (system/src/Grav/Common/Data/Blueprint.php), which passes a Class::method callable string and its arguments directly to call_user_func_array() without any allowlist. Because the form plugin routes page frontmatter through this path, an authenticated account with the admin.pages (or api.pages.write) permission can plant a malicious callable directive in a page. The command then executes as the web-server user whenever anyone — including an unauthenticated visitor — accesses the page.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.