CVE-2023-34448: falha de alta gravidade em getgrav grav
Grav Server-side Template Injection (SSTI) via Twig Default Filters
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O Grav CMS possui uma vulnerabilidade de injeção de template onde atacantes conseguem executar código arbitrário através de funções embutidas do Twig como map() e reduce(), apesar de um patch anterior ter tentado corrigir um problema semelhante. Isso permite execução remota de código se um atacante conseguir controlar a entrada de template.
A injeção de template no lado do servidor (SSTI) em versões do Grav anteriores à 1.7.42 permite execução remota de código através de funções perigosas da Twig Core Extension (filtros map e reduce). A vulnerabilidade existe porque o patch anterior do CVE-2022-2073 bloqueou apenas a função filter(), mas falhou em validar argumentos em outras funções embutidas perigosas. Um atacante com capacidade de injetar código de template pode explorar o parâmetro $arrow não validado para invocar funções arbitrárias.
No mesmo produto, das mais perigosas para as menos.