CVE-2026-56700

Nome do Software Vulnerável e Versões Afetadas Grav CMS versões anteriores a 2.0.0-beta.2

Description Múltiplos problemas permitem a execução de código. Três chamadas inseguras de unserialize() em SchedulerJobQueue, FrameworkCacheAdapterFileCache e Session desserializam dados não confiáveis sem restringir as classes permitidas. Isso possibilita a injeção de objetos PHP que, por meio de uma cadeia de gadgets, permite a execução de código arbitrário quando um invasor controla a entrada serializada. Além disso, a função InstallCommand realiza uma operação de clone do git que passa os parâmetros branch, url e path para um comando de shell sem escape, resultando em injeção de comando de SO durante a instalação de plugins ou temas para usuários com acesso de administrador. Uma injeção de template no lado do servidor também é possível através de um bypass na lista de bloqueio de segurança do Twig.

Recommendations Atualizar para a versão 2.0.0-beta.2.