CVE-2026-65608

Grav versiyaları >= 1.7.0 və 2.0.9-dan əvvəlki versiyalarda uzaqdan kodun icrası zəifliyi mövcuddur. FlexDirectory::dynamicDataField() funksiyası, hücum edən tərəfindən təsir edilən giriş üzərində call_user_func_array() çağıraraq blueprint data-*@: direktivlərini həll edir və hədəfin yalnız çağırıla bilən olduğunu (is_callable()) yoxlayır, lakin exec, system, passthru və ya shell_exec kimi təhlükəli funksiyaları məhdudlaşdırmır. FlexDirectory bu idarəedicini hər bir Flex kataloqu üçün qeydiyyatdan keçirdiyi üçün o, 2.0.7 versiyasında Blueprint::dynamicData()-ya əlavə edilmiş validasiyanı (GHSA-fj2p-qj2f-74v5) yan keçir. Hər hansı Flex əsaslı kataloqda (Flex Users, Flex Pages, Flex Objects və ya xüsusi Flex tipləri) yaratma və ya yeniləmə icazəsi olan istənilən autentifikasiya olunmuş istifadəçi serverdə ixtiyari shell əmrlərini icra edə bilər.