Grav - 多个远程代码执行漏洞 漏洞概述 Grav CMS 在 2.0.0-beta.2 版本之前存在多个代码执行漏洞。三个不安全的 调用(在 、 和 中)反序列化不受信任的数据,未限制允许的类,从而启用 PHP 对象注入,并通过 gadget 链实现任意代码执行,攻击者可以控制序列化输入。此外, 的 git clone 操作传递分支、URL 和路径参数到 shell 命令,未进行转义,允许通过插件/主题安装(需要管理员访问)实现 OS 命令注入。Twig 安全黑名单绕过(服务器端模板注入)也存在。这些问题在 2.0.0-beta.2 版本中已修复。 影响范围 Grav >= 0, < 2.0.0-beta.2 修复方案 升级到 2.0.0-beta.2 或更高版本。 参考链接 GitHub Security Advisory 其他信息 严重性: CRITICAL 发布日期: 6/30/2026 CVE: CVE-2026-56700 CWE: - CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') - CWE-502: Deserialization of Untrusted Data CVSS: 9.3 CVSS v4 Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/NI:S/SA:N