Kuba0123

**Nome do Software Vulnerável e Versões Afetadas** Grav CMS versões anteriores a 2.0.13 **Descrição** Usuários autenticados podem alcançar a execução remota de código por meio de uma falha na validação de configurações do plugin Flex Objects. Ao utilizar a notação de array em vez da notação de string, um invasor pode ignorar a validação do nome da rotina para chamar a rotina `unZip()` com um arquivo ZIP malicioso. Esse processo permite o upload e a gravação de arquivos PHP diretamente na raiz da web para execução posterior. **Recomendações** Atualize o Grav CMS para a versão 2.0.13 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Grav CMS versões anteriores a 2.0.13 **Descrição** Editores de página com baixos privilégios podem executar comandos arbitrários do sistema operacional devido a uma injeção de template no lado do servidor. Isso ocorre quando invasores injetam payloads Twig—um mecanismo de template para PHP—usando o filtro `find` não isolado nos parâmetros de email-action. O problema é acionado durante o envio de formulários através dos campos de assunto, corpo, destinatário ou remetente do e-mail. **Recomendações** Atualize o Grav CMS para a versão 2.0.13 ou posterior.