CVE-2026-58493

ŚrednieCVSS 5.1

Opublikowano: 10/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka bazodanowa dla Grav CMS przed wersją 1.2.0 zawiera podatność polegającą na niebezpiecznym konstruowaniu ciągów DSN PDO. Metoda Database::__call bezpośrednio łączy wartości konfiguracyjne YAML (takie jak host, dbname, charset, server, database, directory, filename) bez sanityzacji lub walidacji, co umożliwia administratorowi z dostępem do konfiguracji wtyczki wstrzyknięcie atrybutów DSN lub wartości umożliwiających przejście ścieżki.

Ocena ryzyka

Ryzyko polega na możliwości modyfikacji połączenia z bazą danych przez uprzywilejowanego administratora, co może prowadzić do nieautoryzowanego dostępu do danych, eskalacji uprawnień lub ataków na inne systemy poprzez manipulację parametrami DSN.

Rekomendacja

Należy niezwłocznie zaktualizować wtyczkę grav-plugin-database do wersji 1.2.0 lub nowszej, która zawiera poprawkę eliminującą podatność. Po aktualizacji należy zweryfikować konfigurację połączeń bazodanowych.

Inne podatności w grav-plugin-database

CVE-2026-58492Krytyczne
Wtyczka bazy danych dla Grav CMS przed wersją 1.2.0 zawiera podatność na wstrzykiwanie SQL w metodzie PDO::tableExists. Nazwa tabeli przekazywana przez kod wtyczki lub programisty jest bezpośrednio interpolowana do surowego zapytania SQL bez sanityzacji, co umożliwia wykonanie dowolnego kodu SQL.

Oryginalny opis (angielski, źródło NVD)

grav-plugin-database is the database plugin for Grav CMS. Prior to 1.2.0, Database::__call builds PDO DSN strings by directly concatenating user-configurable YAML values from fields such as host, dbname, charset, server, database, directory, and filename without sanitization or validation, allowing an administrator with plugin configuration access to inject DSN attributes or path traversal values. This issue is fixed in version 1.2.0.