FICHE CVE

CVE-2026-62672

Publiée le 2026-08-19 · Dernière modification le 2026-08-19

🇫🇷 EN BREF

Les installations de Grav CMS antérieures à la version 2.0.4 sont vulnérables à une attaque par déni de service. Un utilisateur authentifié disposant des permissions d'éditeur de page peut publier un modèle spécialement conçu qui épuise les ressources CPU de PHP, rendant le site indisponible pour les visiteurs. Cela nécessite un accès réseau et un compte existant avec des privilèges limités, bien que le modèle spécifique requis pour provoquer le plantage soit complexe à créer.

CVSS 4.06.0 MOYENNE

Type de faiblesse

Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-08-19

Dernière modification2026-08-19

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Grav is a file-based Web platform. Prior to 2.0.4, Grav allowlists the regex_replace filter and function in system/config/security.yaml, and GravExtension::regexReplace() passes an editor-controlled pattern directly to preg_replace(). When security.twig_content.process_enabled is enabled, an authenticated page editor can publish a catastrophically backtracking pattern that consumes PHP worker CPU and denies service to site visitors. This issue is fixed in version 2.0.4.