- Yama var
- Son 7 gün
- CWE-749
CVE-2026-116019
Grav CMS'te Flex form geçersiz kılma yönergeleriyle izin listesi atlatma açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Grav 2.0.15 ile 2.2.13 öncesi sürümler, sayfa düzenleyicilerinin unset-name@ veya tamsayı anahtarlarıyla data-*@ yönergelerini taşıyarak rastgele genel statik metotları çağırmasına izin veren bir izin listesi atlatma açığı içerir. Sayfa düzenleme yetkisine sahip saldırganlar, sayfa ön maddesindeki (frontmatter) Flex form geçersiz kılmalarına özel hazırlanmış alanlar yerleştirebilir ve Folder::delete veya Utils::download gibi metotları çağırarak dizinleri silebilir, dosyaların üzerine yazabilir veya sayfa ağacı dışındaki dosyaları okuyabilir. CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H vektörüyle 8.8 (YÜKSEK) puan almıştır.
Kaynaktaki açıklama (İngilizce)
Grav 2.0.15 before 2.2.13 contains an allowlist bypass vulnerability that allows page editors to invoke arbitrary public static methods by relocating data-*@ directives with unset-name@ or integer keys. Attackers with page-edit permission can embed crafted fields in Flex form overrides in page frontmatter to call methods like Folder::delete or Utils::download, deleting directories, overwriting files, or reading files outside the page tree.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | ≥ 2.0.15, < 2.2.13 | 2.2.13 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…v/grav/security/advisories/GHSA-47gg-mh38-9rr7 Üretici bülteni
- github.com/…ommit/4d9e3935f6b79cc1a157914554ccca6066a16f87 Yama
- vulncheck.com/…wlist-bypass-via-flex-form-override-directives Üçüncü taraf
- github.com/getgrav/grav/releases/tag/2.2.13 Diğer
- github.com/…2.12/system/src/Grav/Common/Data/Blueprint.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.