CVE-2026-75574

Nome do Software Vulnerável e Versões Afetadas Grav Email plugin versões anteriores a 4.2.2

Description Um usuário remoto autenticado com permissões api.access e api.pages.write pode executar comandos arbitrários do sistema operacional como a conta que executa o PHP. Isso ocorre porque o plugin renderiza parâmetros de ação de e-mail controlados pelo editor de página como templates Twig não isolados (unsandboxed). Um invasor pode conseguir isso inserindo uma expressão Twig no parâmetro header.form.process.email.body, publicando a página e enviando o formulário. Twig é um mecanismo de template usado para gerar HTML ou outros formatos de texto dinamicamente.

Recommendations Atualize o Grav Email plugin para a versão 4.2.2 ou posterior.