CVE-2026-65008

सारांश

# Grav 2.0.4 (2.0.7 में ठीक किया गया) में रिमोट कोड निष्पादन भेद्यता Grav 2.0.4 (2.0.7 में ठीक किया गया) में Blueprint::dynamicData() (system/src/Grav/Common/Data/Blueprint.php) में एक रिमोट कोड निष्पादन भेद्यता मौजूद है, जो Class::method कॉल करने योग्य स्ट्रिंग और उसके तर्कों को बिना किसी अनुमतिसूची (allowlist) के सीधे call_user_func_array() में भेजता है। चूंकि फॉर्म प्लगइन पेज के फ्रंटमैटर को इस पथ से रूट करता है, इसलिए admin.pages (या api.pages.write) अनुमति वाला एक प्रमाणित खाता पेज में एक दुर्भावनापूर्ण कॉल करने योग्य निर्देश लगा सकता है। फिर यह कमांड वेब-सर्वर उपयोगकर्ता के रूप में तब निष्पादित होती है जब कोई भी — जिसमें एक अप्रमाणित आगंतुक भी शामिल है — पेज तक पहुँचता है।

• CVE-2026-65008एक्सप्लॉइट

  CVE-2026-65008

• Grav CMS 2.0.7 - RCEएक्सप्लॉइट

  zer0dayf · multiple · 1 सित॰ 2026