Se ha detectado una vulnerabilidad crítica en Grav CMS (versiones 2.0.15 hasta 2.2.12) que permite a usuarios con permisos de edición de páginas saltarse las restricciones de la lista blanca. Al manipular directivas en el frontmatter de los formularios Flex, un atacante puede invocar métodos públicos como Folder::delete o Utils::download.
El impacto real es severo, ya que permite la eliminación de directorios, la sobrescritura de archivos o la lectura de datos fuera del árbol de páginas del sitio. Aunque la severidad es alta (CVSS 8.8), actualmente no se han detectado hosts expuestos mediante Shodan.
| CVE | CVE-2026-116019 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.8 / 10 |
| CWE | CWE-749 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Grav 2.0.15 – 2.2.13
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).