FICHE CVE

CVE-2026-62237

Publiée le 2026-07-17 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les installations de Grav CMS où le traitement de contenu Twig est activé sont vulnérables à une attaque par déni de service. Un utilisateur authentifié disposant des permissions d'édition de page peut saisir une expression régulière spécifiquement conçue pour consommer toutes les ressources CPU disponibles, provoquant ainsi le plantage du processus du serveur web. Il s'agit d'une attaque de faible complexité qui nécessite un accès basique à un compte, mais aucune interaction de la part d'autres utilisateurs.

CVSS 4.06.0 MOYENNE

Type de faiblesse

Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-07-17

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Grav before 2.0.4 contains a regular expression denial of service (ReDoS) vulnerability in the regex_replace filter and function, which are allowlisted in the Twig content sandbox. When Twig processing in page content is enabled (security.twig_content.process_enabled: true, disabled by default), an authenticated page editor can supply a catastrophically backtracking PCRE pattern that is passed directly to PHP's preg_replace(), causing unbounded CPU consumption and denial of service to the web server process.