CVE-2026-61873

Grav 9.1.8-dən əvvəlki versiyalarda Form plagininin process.save.filename parametrində ixtiyari fayl yazma zəifliyi mövcuddur; bu parametr Twig emalından əvvəl yol keçməsinə (path traversal) qarşı yoxlanılır, lakin render edildikdən sonra heç vaxt yenidən yoxlanılmır. Hücumçular Twig şablonları vasitəsilə emal olunan yol keçməsi ardıcıllıqları olan forma məlumatlarını göndərə bilər və bununla da veb kökünə və ya digər həssas qovluqlara PHP webshell də daxil olmaqla ixtiyari fayllar yazmaq imkanı əldə edirlər.