CVE-2026-61873

Nome do Software Vulnerável e Versões Afetadas Grav versões anteriores a 9.1.8

Description Um problema de escrita arbitrária de arquivos existe no plugin Form. O parâmetro process.save.filename é validado contra path traversal antes do processamento Twig, mas não é revalidado após a renderização. Isso permite que atacantes enviem dados de formulário com sequências de path traversal que, ao serem processadas por templates Twig, permitem a criação de arquivos arbitrários, como webshells PHP, na raiz web ou em outros diretórios sensíveis.

Recommendations Atualize para a versão 9.1.8 ou posterior.