PT-2026-81149 · Grav · Grav
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Grav versões anteriores a 2.0.16
Description
Uma lista de negação (denylist) padrão incompleta na configuração do sandbox do Twig permite que usuários com permissão de edição de página acessem segredos de configuração do sistema. Quando o
config access está habilitado, um invasor pode usar as funções config.get() ou config.toArray() em templates Twig para recuperar informações sensíveis, como a variável system.cache.redis.password.Recommendations
Atualize o Grav para a versão 2.0.16 ou posterior.
Exploit
Correção
Insufficiently Protected Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Grav