Server-Side Template Injection (SSTI) with Grav CMS security sandbox bypass
21Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 8.8epss 5.8%
probabilidad de explotación
5.8%top 8% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen
Grav CMS en versiones anteriores a 1.7.45 permite que usuarios autenticados con permisos de editor inyecten código malicioso en plantillas, eludiendo protecciones de seguridad y ejecutando código arbitrario en el servidor.
Detalle técnico
Vulnerabilidad de Server-Side Template Injection (SSTI) en Grav CMS anterior a la versión 1.7.45 permite que usuarios autenticados con permisos de editor escapen de la sandbox de plantillas y logren ejecución remota de código. El ataque explota procesamiento inadecuado de plantillas que falla en aplicar restricciones de sandbox, permitiendo ejecución de código arbitrario con privilegios del servidor.
Resumen generado y traducido por IA a partir de la descripción oficial.
Grav is an open-source, flat-file content management system. Grav CMS prior to version 1.7.45 is vulnerable to a Server-Side Template Injection (SSTI), which allows any authenticated user (editor permissions are sufficient) to execute arbitrary code on the remote server bypassing the existing security sandbox. Version 1.7.45 contains a patch for this issue.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
getgrav · grav