CVE-2026-116019

Grav 2.0.0 do 2.0.24 zawiera lukę w sandboxie Twig, która pozwala na ominięcie zabezpieczeń. Filtr `array` jest dozwolony w sandboxie, ale nie sprawdza listy dozwolonych metod, co umożliwia odczytanie prywatnych danych kontenera DI, w tym pełnej konfiguracji z sekretami (hasła, klucze OAuth, SMTP, Redis, proxy).

Grav przed wersją 2.0.14 nie zabezpiecza pola access w podstawowym blueprint grupy wymaganym ograniczeniem security@: admin.super. Delegowany operator admin.users może zapisać grupę z access[admin][super]=true, aby eskalować do super-admina, uzyskując możliwości planowania i ewaluacji Twig.

Grav 2.0.4 (poprawiony w 2.0.7) zawiera podatność na zdalne wykonanie kodu w funkcji Blueprint::dynamicData(). Funkcja ta przekazuje ciąg znaków wywołania metody klasy i jej argumenty bezpośrednio do call_user_func_array() bez żadnej listy dozwolonych wartości. Ponieważ wtyczka formularza kieruje frontmatter stron przez tę ścieżkę, uwierzytelnione konto z uprawnieniami admin.pages (lub api.pages.write) może umieścić złośliwą dyrektywę wywołania na stronie. Polecenie wykonuje się jako użytkownik serwera WWW, gdy ktokolwiek – w tym nieuwierzytelniony gość – uzyska dostęp do strony.

Grav przed wersją 2.0.2 zawiera obejście sandboksa Twig, które pozwala autorowi strony (każdemu użytkownikowi z uprawnieniami admin.pages lub osobie mogącej pisać do katalogu user/pages) na wyciek sekretów konfiguracyjnych. Mimo że sandboks zastępuje zmienną 'config' okrojoną fasadą i usuwa metody Config::get/toArray z listy dozwolonych, surowy kontener pozostaje dostępny przez dozwoloną metodę grav.offsetGet('config'), która zwraca oryginalny obiekt Config. Dozwolone filtry dumpowania obiektów (json_encode, print_r, yaml_encode) serializują ten obiekt na poziomie PHP bez wywoływania bramki metod sandboksa, ujawniając pełne drzewo konfiguracji, w tym sekrety wtyczek, takie jak dane uwierzytelniające SMTP, klucze API i dane uwierzytelniające bazy danych wtyczek.

W grav przed wersją 1.7.49.5, wektor SSRF (Server-Side Request Forgery) może być wyzwolony przez szablony Twig, gdy treść strony jest przetwarzana przez Twig, a konfiguracja pozwala na rejestrację niezdefiniowanych funkcji PHP.

Grav to platforma webowa oparta na plikach. Przed wersją 1.8.0-beta.27, z powodu niewłaściwych kontroli autoryzacji przy modyfikowaniu krytycznych pól w żądaniu POST do /admin/pages/{page_name}, edytor z uprawnieniami tylko do zmiany podstawowej treści formularza może zmienić działanie formularza poprzez modyfikację zawartości data[_json][header][form], czyli YAML frontmatter, który zawiera sekcję process określającą, co dzieje się po wysłaniu formularza, w tym ważne akcje mogące prowadzić do dalszych podatności. Podatność naprawiona w wersji 1.8.0-beta.27.

W Grav od wersji 1.7.53.3 do 1.7.53.6 występuje obejście autoryzacji w Debugger::isDebuggerRequestAuthorized(), które pozwala nieuwierzytelnionym odwiedzającym czytać dane profilera /__clockwork/ poprzez mechanizm fallback REMOTE_ADDR dla loopback. Za odwrotnym proxy na tym samym hoście zdalne żądania wyglądają jak loopback, umożliwiając atakującym odczyt zapisanych rekordów, w tym haseł administratorów w postaci jawnej i poświadczeń konfiguracyjnych.

Grav od wersji 2.0.0 przed 2.2.5 zawiera lukę w kontroli dostępu w FlexDirectory::dynamicFlexField(), która pozwala autorom stron wywoływać dowolne metody obiektów Flex poprzez dyrektywy flex-*@ w frontmatterze strony. Gdy użytkownik z prawem edycji strony otwiera stronę, dyrektywy wywołujące setStorageKey() i delete() wykonują się w jego sesji, usuwając chronione strony, których żadne z kont nie może usunąć.

Grav w wersjach od 2.0.0 do przed 2.2.5 zawiera podatność ujawnienia informacji, która pozwala autorom stron przechwytywać dane uwierzytelniające HTTP Basic odwiedzających poprzez treść strony Twig. Autorzy mogą wypisać obiekt request Uri, zawierający PHP_AUTH_USER i PHP_AUTH_PW, wewnątrz wbudowanego stylu obrazu tła, aby eksfiltrować dane uwierzytelniające administratorów na zewnętrzny host.

Grav w wersjach 1.7.53 przed 1.7.53.5 oraz 2.0.0-rc.8 przed 2.2.2 zawiera lukę wyczerpania zasobów pozwalającą anonimowym odwiedzającym obejść limit system.images.max_pixels, gdy włączone jest system.images.url_actions. Atakujący mogą wysyłać akcje forceResize, zoomCrop lub łańcuchowe akcje obrazów z jednowymiarowymi lub procentowymi wartościami, powodując alokację wielogigabajtowych kanw przez GD, wyczerpanie pamięci serwera i niedostępność strony.