Grav: Remote code execution via unrestricted callable in Blueprint::dynamicData() — GHSA-FJ2P-QJ2F-74V5

GitHub · GitHub · GHSA-FJ2P-QJ2F-74V5

ID
GHSA-FJ2P-QJ2F-74V5

Datum
2026-09-02

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
8.7

EPSS
0.00343

Zusammenfassung

### Summary An account with the `admin.pages` permission (or `api.pages.write`) can run shell commands on the server. The command executes whenever anyone — including an unauthenticated visitor — opens the page. ### Details `Blueprint::dynamicData()` (system/src/Grav/Common/Data/Blueprint.php:426) passes a `Class::method` string and its arguments straight to `call_user_func_array()` with no allowlist. The form…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-02

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 8.7 von 10.
Gemeldeter EPSS-Wert: 0.00343.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: composer: getgrav/grav.

Produkt

composer: getgrav/grav

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-FJ2P-QJ2F-74V5
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-02
Letzte Quellenaktivität: 2026-09-02
Weitere Kennungen: CVE-2026-64850
Kuratiert von: hlukh.ch