CVE-2026-61842
ŚrednieCVSS 6.5Streszczenie
Grav przed wersją 2.0.2 w sandboxie Twig pozwala na użycie grav.offsetGet('config') do uzyskania surowego obiektu konfiguracji oraz na serializację tego obiektu przez json_encode, print_r, yaml_encode i filtry string bez przechodzenia przez GravSecurityPolicy::checkMethodAllowed. Użytkownik z uprawnieniami edytora strony może renderować zawartość sandboxowaną, która ujawnia sekrety konfiguracji pluginów, w tym dane SMTP, klucze API i dane uwierzytelniające baz danych.
Ocena ryzyka
Ujawnienie sekretów konfiguracji może prowadzić do przejęcia kont, kradzieży danych lub dalszych ataków na infrastrukturę.
Rekomendacja
Zaktualizuj Grav do wersji 2.0.2 lub nowszej oraz ogranicz uprawnienia edytorskie do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Grav is a file-based Web platform. Prior to 2.0.2, the Grav Twig content sandbox permits grav.offsetGet('config') to return the raw configuration object and permits json_encode, print_r, yaml_encode, and string filters to serialize that object without passing through GravSecurityPolicy::checkMethodAllowed. A user with page-author permissions can render sandboxed content that exposes plugins.* configuration secrets, including SMTP credentials, API keys, and plugin database credentials. This issue is fixed in version 2.0.2.