Grav 2.0.15–2.2.12: обход allowlist через override-директивы Flex Form (CVE-2026-116019)
В Grav с 2.0.15 до 2.2.13 обнаружена уязвимость обхода allowlist, позволяющая редакторам страниц вызывать произвольные публичные статические методы через директивы `data-*@` с ключами `unset-name@` или целочисленными ключами. Проблема затрагивает сайты, где пользователям выдано право редактирования страниц, и оценена в 8.7 (HIGH) по CVSS.
Подробности
Уязвимости подвержены версии Grav начиная с 2.0.15 и до 2.2.13 (продукт getgrav grav). Согласно описанию CVE, атакующий с разрешением на редактирование страниц может разместить специально сформированные поля в override-блоках Flex-форм внутри frontmatter страницы. Смещая директивы `data-*@` с помощью ключей `unset-name@` или целочисленных ключей, он добивается обхода allowlist и вызова методов вроде `Folder::delete` или `Utils::download`. Результатом может стать удаление каталогов, перезапись файлов или чтение файлов за пределами дерева страниц. Уровень опасности — CVSS 8.7 (HIGH). Вектор атаки требует наличия аутентифицированной учётной записи с правом редактирования страниц, поэтому наибольший риск возникает на сайтах с несколькими редакторами, ролями с широкими правами или на инсталляциях, где редактирование доступно внешним пользователям.Что делать
Основная рекомендация — обновить Grav до версии 2.2.13 или более поздней, где уязвимость устранена. Если обновление невозможно в короткие сроки, следует ограничить круг пользователей с правом редактирования страниц, пересмотреть роли и права учётных записей, а также проверить журналы на предмет подозрительных изменений frontmatter и обращений к файловой системе. Дополнительно рекомендуется ограничить возможность загрузки и редактирования шаблонов страниц для недоверенных пользователей и провести аудит содержимого существующих страниц на наличие необычных директив `data-*@` с ключами `unset-name@` или числовыми ключами.Итог
CVE-2026-116019 — серьёзная уязвимость в Grav, позволяющая редакторам страниц выходить за рамки предусмотренных ограничений и воздействовать на файловую систему. Учитывая высокий балл CVSS и низкий порог эксплуатации для аутентифицированного пользователя, обновление до 2.2.13 следует выполнить в приоритетном порядке, а до его установки — минимизировать число учётных записей с правом редактирования страниц.Источник: CVE Project (cvelistV5)