Abra o navegador em http://localhost:8080/admin e crie uma conta de administrador no primeiro acesso.

Como Reproduzir o Exploit

1. No Painel Admin, crie uma segunda conta de usuário com permissões apenas de editor (Login no Site, Login no Admin e Páginas definidos como Permitido — todo o restante como Não definido)
2. Abra uma janela de navegação anônima e faça login como editor em http://localhost:8080/admin
3. Vá em Páginas → Adicionar Página, defina o título como test page e clique em Continuar
4. Na aba Avançado, habilite o processamento Twig marcando tanto Markdown quanto Twig em Processamento
5. Na aba Conteúdo, cole o seguinte payload:

6. Clique em Salvar
7. Abra uma aba normal do navegador e visite http://localhost:8080/test-page
8. O servidor exibirá o objeto completo de configuração do Grav e, bem no final, mostrará: uid=33(www-data) gid=33(www-data) groups=33(www-data)

Isso confirma a Execução Remota de Código como o usuário do servidor web.

Como Executar o Ambiente Corrigido (Grav 1.7.45)

Abra o navegador em http://localhost:8081/admin e repita todos os passos do exploit acima, direcionando para http://localhost:8081/test-page.

A página ficará completamente em branco. O método cleanDangerousTwig() em Security.php detecta e bloqueia a diretiva twig.safe_functions antes que ela chegue ao mecanismo Twig. A lista de permissões nunca é modificada e o comando nunca é executado.

Como a Vulnerabilidade Funciona

A vulnerabilidade está localizada em system/src/Grav/Common/Twig.php. O Grav implementa um sandbox para impedir que funções PHP perigosas sejam chamadas dentro de templates Twig, com base em uma lista negra verificada por isDangerousFunction(). No entanto, o sandbox não protege o próprio objeto Twig. Um usuário com nível de editor pode interagir com o objeto Twig por meio de diretivas de template maliciosas e sobrescrever a lista de permissões system.twig.safe_functions em tempo de execução. Uma vez que uma função perigosa como system() é adicionada à lista de permissões, a verificação do sandbox é ignorada e a função é executada livremente.

A Correção

O patch adiciona 'twig.safe_functions' à lista de padrões bloqueados dentro do método cleanDangerousTwig() em system/src/Grav/Common/Security.php. Qualquer diretiva que contenha essa string é neutralizada antes de chegar ao mecanismo Twig, tornando impossível para um editor modificar a lista de permissões a partir de um template.