CVE-2026-65608
Publiée le 2026-07-23 · Dernière modification le 2026-10-24
Les versions 1.7.0 à 2.0.8 de Grav CMS sont concernées. Un attaquant disposant d'un compte avec des privilèges limités et de l'autorisation de créer ou de mettre à jour des répertoires basés sur Flex (tels que les Utilisateurs ou les Pages) peut exécuter des commandes shell arbitraires sur votre serveur. Il s'agit d'une attaque réseau directe qui nécessite une authentification, mais aucune autre interaction de l'utilisateur pour réussir.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Grav versions >= 1.7.0 and before 2.0.9 contain a remote code execution vulnerability. FlexDirectory::dynamicDataField() resolves blueprint data-*@: directives by calling call_user_func_array() on attacker-influenced input, validating only that the target is callable (is_callable()) without restricting dangerous functions such as exec, system, passthru, or shell_exec. Because FlexDirectory registers this handler for every Flex directory, it bypasses the validation added to Blueprint::dynamicData() in 2.0.7 (GHSA-fj2p-qj2f-74v5). Any authenticated user with create or update permission on any Flex-based directory (Flex Users, Flex Pages, Flex Objects, or custom Flex types) can execute arbitrary shell commands on the server.