CVE-2026-56700

2.0.0-beta.2 öncesindeki Grav CMS, birden fazla kod çalıştırma zafiyeti içermektedir. Scheduler\JobQueue, Framework\Cache\Adapter\FileCache ve Session bölümlerindeki üç güvenli olmayan unserialize() çağrısı, izin verilen sınıfları kısıtlamadan güvenilmeyen verileri serileştirmekte; bu durum, saldırganın serileştirilmiş girdiyi kontrol edebildiği senaryolarda PHP nesne enjeksiyonuna ve bir gadget zinciri aracılığıyla rastgele kod çalıştırılmasına olanak tanımaktadır. Ek olarak, InstallCommand'in git clone işlemi; branch, url ve path parametrelerini kaçış karakterleri kullanmadan bir kabuk komutuna aktarmakta, bu da eklenti/tema kurulumu yoluyla (yönetici erişimi gerektirir) işletim sistemi komut enjeksiyonuna izin vermektedir. Ayrıca bir Twig güvenlik kara liste atlatma (sunucu taraflı şablon enjeksiyonu) durumu da mevcuttur. Bu sorunlar 2.0.0-beta.2 sürümünde düzeltilmiştir.