CVE-2021-29440highCWE-94

CVE-2021-29440: falha de alta gravidade em getgrav grav

Twig allowing dangerous PHP functions by default

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar grav+ Monitorar getgrav/grav

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

46Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 8.4epss 30%
da publicação à arma54 dias
Publicada no NVD13 de abr.
1ª PoC+54d
Grav is a file based Web-platform. Twig processing of static pages can be enabled in the front matter by any administrative user allowed to create or edit pages. As the Twig processor runs unsandboxed, this behavior can be used to gain arbitrary code execution and elevate privileges on the instance. The issue was addressed in version 1.7.11.
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H
Produtos afetados
getgrav · grav
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — getgrav grav

No mesmo produto, das mais perigosas para as menos.

CVE-2024-27921HIGHGrav File Upload Path Traversal vulnerabilityEPSS 60.6%CVE-2024-28116HIGHServer-Side Template Injection (SSTI) with Grav CMS security sandbox bypassEPSS 5.8%CVE-2026-61450HIGHGrav before 2.0.2 Config Exfiltration via offsetGet FilterEPSS 5.4%CVE-2023-34448HIGHGrav Server-side Template Injection (SSTI) via Twig Default FiltersEPSS 4.5%CVE-2026-42607CRITICALGrav: Remote Code Execution (RCE) via Malicious Plugin ZIP Upload in Direct Install FeatureEPSS 4.4%CVE-2024-34082HIGHGrav Arbitrary File Read to Account TakeoverEPSS 3.0%