Vulnerabilidad · Publicado 14/08/2026
Grav CMS versiones anteriores a 2.0.13 contiene una vulnerabilidad de inyección de plantillas del lado del servidor (SSTI) en parámetros de email-action que permite a editores con permisos bajos ejecutar comandos arbitrarios del sistema operativo. Los atacantes pueden inyectar payloads Twig usando el filtro find sin sandbox en campos de asunto, cuerpo, destinatario u origen de correos, logrando ejecución remota de código cuando se envían formularios. Esta vulnerabilidad afecta principalmente a portales web, sistemas de gestión de contenidos y plataformas de formularios en empresas latinoamericanas.
Grav CMS before 2.0.13 contains a server-side template injection vulnerability in email-action parameters that allows low-privileged page editors to execute arbitrary operating-system commands. Attackers can inject Twig payloads using the unsandboxed find filter in email subject, body, to, or from fields to achieve remote code execution when forms are submitted.
Score: 8.8/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-1336
Publicado en NIST NVD.