CVE-2026-112780
CVE-2026-112780 · Grav 2.0.15 before 2.2.2 Arbitrary Static Method Call via Flex Form replace-name@
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Grav from 2.0.15 before 2.2.2 contains an allowlist bypass vulnerability that allows page editors to call arbitrary public static methods by renaming Flex form fields with replace-name@. Attackers with page-edit permission can smuggle data-*@ directives past the callable check to invoke Folder::delete, Folder::move, or Utils::download, deleting directories, overwriting files, or reading files.
CVSS 9.3 · Критический · EPSS 0,7% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
grav
- Версии
- ≥ 2.0.15, < 2.2.2: Затронуто (semver)
- 2.2.2: Не затронуто (semver)
Обновитесь до 2.2.2