CVE-2026-58655

Grav Flex Objects plaqini (getgrav/grav-plugin-flex-objects) 1.4.0 versiyasından əvvəl server tərəfində saxlanılan şablon inyeksiyası zəifliyi ehtiva edir. Dinamik kolleksiya və ya obyekt başlıqlarını göstərərkən plaqin istifadəçi tərəfindən idarə olunan frontmatter dəyərlərini (page.header.flex.collection.title və ya page.header.flex.object.title) Twig-in template_from_string() funksiyasına ötürür və nəticədə onlar mətn kimi deyil, Twig kodu kimi qiymətləndirilir. Bu yol Grav-ın Security::cleanDangerousTwig() təmizləmə mexanizmini yan keçir. İctimaiyyət üçün əlçatan olan Flex Objects səhifəsinin title frontmatter dəyərini idarə edə bilən hücumçu ixtiyari Twig icrasına nail ola və scheduler kimi daxili Grav xidmətlərinə çıxış vasitəsilə uzaqdan əmr icrasına qədər imtiyazları yüksəldə bilər.