CVE-2026-44738

Yüksək

Təsvir

Grav fayl əsaslı veb platformadır. 2.0.0-rc.2 versiyasından əvvəl Twig sandbox icazə siyahısı admin.pages roluna malik hər hansı istifadəçiyə səhifə gövdəsindən config.toArray() funksiyasını çağırmağa imkan verir ki, bu da bütün birləşdirilmiş sayt konfiqurasiyasını — o cümlədən bütün plagin gizli məlumatlarını (SMTP şifrələri, AWS açarları, OAuth müştəri gizli məlumatları, API tokenləri) — render edilmiş HTML-ə çıxarır. Heç bir administrator imtiyazı tələb olunmur. Bu zəiflik 2.0.0-rc.2 versiyasında aradan qaldırılıb.

CiddilikYüksək

CVSS7.7

İstismar ehtimalı—

Məhsul

Grav

Dərc11 may 2026

İlk görülmə11 may 2026

Zəiflik növüCWE-200Həssas məlumatın ifşası

Necə düzəltmək olar

Yeniləyin

getgrav grav2.0.0 və ya daha yeni versiya
getgrav/grav2.0.0-rc.2 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
getgrav grav	v < 2.0.0, 2.0.0	2.0.0
getgrav/gravPackagist	v < 2.0.0-rc.2	2.0.0-rc.2

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.