CVE-2026-44738

Grav 2.0.0 do 2.0.24 zawiera lukę w sandboxie Twig, która pozwala na ominięcie zabezpieczeń. Filtr `array` jest dozwolony w sandboxie, ale nie sprawdza listy dozwolonych metod, co umożliwia odczytanie prywatnych danych kontenera DI, w tym pełnej konfiguracji z sekretami (hasła, klucze OAuth, SMTP, Redis, proxy).

Grav przed wersją 2.0.14 nie zabezpiecza pola access w podstawowym blueprint grupy wymaganym ograniczeniem security@: admin.super. Delegowany operator admin.users może zapisać grupę z access[admin][super]=true, aby eskalować do super-admina, uzyskując możliwości planowania i ewaluacji Twig.

Grav 2.0.4 (poprawiony w 2.0.7) zawiera podatność na zdalne wykonanie kodu w funkcji Blueprint::dynamicData(). Funkcja ta przekazuje ciąg znaków wywołania metody klasy i jej argumenty bezpośrednio do call_user_func_array() bez żadnej listy dozwolonych wartości. Ponieważ wtyczka formularza kieruje frontmatter stron przez tę ścieżkę, uwierzytelnione konto z uprawnieniami admin.pages (lub api.pages.write) może umieścić złośliwą dyrektywę wywołania na stronie. Polecenie wykonuje się jako użytkownik serwera WWW, gdy ktokolwiek – w tym nieuwierzytelniony gość – uzyska dostęp do strony.

Grav przed wersją 2.0.2 zawiera obejście sandboksa Twig, które pozwala autorowi strony (każdemu użytkownikowi z uprawnieniami admin.pages lub osobie mogącej pisać do katalogu user/pages) na wyciek sekretów konfiguracyjnych. Mimo że sandboks zastępuje zmienną 'config' okrojoną fasadą i usuwa metody Config::get/toArray z listy dozwolonych, surowy kontener pozostaje dostępny przez dozwoloną metodę grav.offsetGet('config'), która zwraca oryginalny obiekt Config. Dozwolone filtry dumpowania obiektów (json_encode, print_r, yaml_encode) serializują ten obiekt na poziomie PHP bez wywoływania bramki metod sandboksa, ujawniając pełne drzewo konfiguracji, w tym sekrety wtyczek, takie jak dane uwierzytelniające SMTP, klucze API i dane uwierzytelniające bazy danych wtyczek.

W grav przed wersją 1.7.49.5, wektor SSRF (Server-Side Request Forgery) może być wyzwolony przez szablony Twig, gdy treść strony jest przetwarzana przez Twig, a konfiguracja pozwala na rejestrację niezdefiniowanych funkcji PHP.

Grav to platforma webowa oparta na plikach. Przed wersją 1.8.0-beta.27, z powodu niewłaściwych kontroli autoryzacji przy modyfikowaniu krytycznych pól w żądaniu POST do /admin/pages/{page_name}, edytor z uprawnieniami tylko do zmiany podstawowej treści formularza może zmienić działanie formularza poprzez modyfikację zawartości data[_json][header][form], czyli YAML frontmatter, który zawiera sekcję process określającą, co dzieje się po wysłaniu formularza, w tym ważne akcje mogące prowadzić do dalszych podatności. Podatność naprawiona w wersji 1.8.0-beta.27.

W Grav od wersji 1.7.53.3 do 1.7.53.6 występuje obejście autoryzacji w Debugger::isDebuggerRequestAuthorized(), które pozwala nieuwierzytelnionym odwiedzającym czytać dane profilera /__clockwork/ poprzez mechanizm fallback REMOTE_ADDR dla loopback. Za odwrotnym proxy na tym samym hoście zdalne żądania wyglądają jak loopback, umożliwiając atakującym odczyt zapisanych rekordów, w tym haseł administratorów w postaci jawnej i poświadczeń konfiguracyjnych.

Grav w wersjach 2.0.15 do 2.2.13 zawiera podatność obejścia listy dozwolonych, która pozwala edytorom stron wywoływać dowolne publiczne metody statyczne poprzez przenoszenie dyrektyw data-*@ z kluczami unset-name@ lub całkowitoliczbowymi. Atakujący z uprawnieniami do edycji stron mogą osadzać spreparowane pola w nadpisaniach formularzy Flex w frontmatterze strony, aby wywołać metody takie jak Folder::delete lub Utils::download, usuwając katalogi, nadpisując pliki lub czytając pliki poza drzewem stron.

Grav od wersji 2.0.0 przed 2.2.5 zawiera lukę w kontroli dostępu w FlexDirectory::dynamicFlexField(), która pozwala autorom stron wywoływać dowolne metody obiektów Flex poprzez dyrektywy flex-*@ w frontmatterze strony. Gdy użytkownik z prawem edycji strony otwiera stronę, dyrektywy wywołujące setStorageKey() i delete() wykonują się w jego sesji, usuwając chronione strony, których żadne z kont nie może usunąć.

Grav w wersjach od 2.0.0 do przed 2.2.5 zawiera podatność ujawnienia informacji, która pozwala autorom stron przechwytywać dane uwierzytelniające HTTP Basic odwiedzających poprzez treść strony Twig. Autorzy mogą wypisać obiekt request Uri, zawierający PHP_AUTH_USER i PHP_AUTH_PW, wewnątrz wbudowanego stylu obrazu tła, aby eksfiltrować dane uwierzytelniające administratorów na zewnętrzny host.