CVE-2026-92917
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Grav to płaski CMS. W wersjach od 2.0.0-rc.1 do 2.0.21 piaskownica zawartości Twig nie ogranicza filtrów zrzutu i serializacji (print_r, vardump, json_encode, yaml_encode, string): GravExtension::assertSandboxDumpSafe() określa stan piaskownicy, wywołując SandboxExtension::isSandboxed() bez argumentu Source, który raportuje tylko globalną flagę piaskownicy, która Grav nigdy się nie włącza, więc ochrona dodana w GHSA-mc5q-6hpj-rp7j nigdy się nie uruchamia. W rezultacie uwierzytelniony użytkownik z uprawnieniami do edycji strony może renderować {{ config|print_r }} w treści strony z włączonym przetwarzaniem Twig i zrzucić całą połączoną konfigurację Grava — print_r odzwierciedla prawdziwy obiekt Config przechowywany w prywatnej własności fasady SandboxConfig, omijając redakcję jego ścieżki — ujawniając sekrety wtyczek, takie jak dane uwierzytelniające SMTP, tokeny API, sekrety webhook i hasła zaplecza pamięci podręcznej. Nie ma to wpływu na Grav 1.7, ponieważ nie zawiera piaskownicy z zawartością Twig. Problem został rozwiązany w wersji 2.0.22, w której filtry, których dotyczy problem, są zarejestrowane z flagą Needs_is_sandboxed Twiga.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org