CVE-2026-61450

2.0.2 sürümünden önceki Grav, bir sayfa yazarının (herhangi bir admin.pages kullanıcısı veya user/pages dizinine yazabilen herhangi biri) yapılandırma sırlarını sızdırmasına olanak tanıyan bir Twig sandbox baypası içermektedir. Sandbox, 'config' değişkenini düzenlenmiş bir cephe ile değiştirse ve Config::get/toArray fonksiyonlarını izin verilen yöntemler listesinden çıkarsa da; gerçek Config nesnesini döndüren ve izinli listede bulunan grav.offsetGet('config') aracılığıyla ham konteynere erişim sağlanmaya devam etmektedir. Ardından, izinli nesne döküm filtreleri (json_encode, print_r, yaml_encode), sandbox yöntem kapısını çağırmadan bu nesneyi PHP düzeyinde serileştirerek SMTP kimlik bilgileri, API anahtarları ve eklenti DB kimlik bilgileri gibi eklenti sırları dahil olmak üzere tüm yapılandırma ağacını açığa çıkarmaktadır. Bu durum, GHSA-j274-39qw-32c9 için eksik bir düzeltmedir.