CVE-2026-116019
Beschrijving NL
Grav 2.0.15 vóór 2.2.13 bevat een kwetsbaarheid voor het omzeilen van een toestemmingslijst waarmee pagina-editors willekeurige openbare statische methoden kunnen aanroepen door gegevens-*@ -richtlijnen te verplaatsen met niet-ingestelde@ -sleutels of integer-sleutels. Aanvallers met toestemming voor het bewerken van pagina's kunnen bewerkte velden in Flex-formulieroverschrijvingen in de voorpagina van de pagina insluiten om methoden aan te roepen zoals Folder:: delete of Utils::download, directory's verwijderen, bestanden overschrijven of bestanden buiten de paginaboom lezen.
Origineel (Engels) tonen
Grav 2.0.15 before 2.2.13 contains an allowlist bypass vulnerability that allows page editors to invoke arbitrary public static methods by relocating data-*@ directives with unset-name@ or integer keys. Attackers with page-edit permission can embed crafted fields in Flex form overrides in page frontmatter to call methods like Folder::delete or Utils::download, deleting directories, overwriting files, or reading files outside the page tree.