CVE-2026-42607: Grav CMS: injeção de código via upload de ZIP no Direct Install
A CVE-2026-42607 afeta o Grav, plataforma web baseada em arquivos, em versões anteriores à 2.0.0-beta.2. Um administrador autenticado pode enviar um arquivo ZIP elaborado pela ferramenta Direct Install, pois o conteúdo do arquivo não é inspecionado, o que pode levar à execução remota de código. O registro indica CVSS 3.1 9.1 (crítico) e correção na 2.0.0-beta.2, e a falha não consta no catálogo KEV da CISA.
Visão geral
O Grav é uma plataforma web baseada em arquivos. A CVE-2026-42607 é uma falha de injeção de código (CWE-94) na ferramenta Direct Install: o filtro de envio bloqueia arquivos .php diretos, mas não inspeciona os arquivos dentro de pacotes ZIP. O registro da NVD e o aviso do GitHub indicam correção na 2.0.0-beta.2.
Impacto
- Um administrador autenticado pode conseguir executar código PHP arbitrário no servidor.
- Um plugin malicioso extraído de um pacote elaborado pode deixar uma web shell persistente.
- O registro informa CVSS 3.1 com pontuação base 9.1 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade e escopo alterado.
Versões e produtos afetados
- Versões do Grav anteriores à 2.0.0-beta.2, conforme a descrição do registro.
- As listas estruturadas de versões afetadas e corrigidas do registro estão vazias, então a faixa de versões vem apenas do texto da descrição.
Status de exploração
O registro indica que a falha não está listada no catálogo KEV da CISA. Não há exploração confirmada na natureza nas fontes consultadas. O registro traz EPSS de 0.02251 (percentil 0.82468).
Correção e mitigação
- Atualize o Grav para a 2.0.0-beta.2 ou posterior, conforme indicado no registro e no commit vinculado.
- Até a correção, restrinja contas administrativas a equipe de confiança, exija autenticação forte e limite quem pode usar recursos de instalação de plugins.
- Consulte o aviso do fornecedor e o commit vinculado para mais detalhes.
Orientações de detecção
- Revise os registros de uso do Direct Install e de instalações de plugins em busca de envios de pacotes inesperados ou novos diretórios de plugins.
- Procure arquivos PHP desconhecidos em diretórios de plugins e em locais acessíveis pela web, comparando a integridade com uma cópia confiável.
- Monitore conexões de saída ou tarefas agendadas inesperadas originadas do processo do servidor web.
Limitações das informações disponíveis
- O registro não lista as versões afetadas ou corrigidas em formato estruturado.
- O caminho de código específico, os pré-requisitos além do acesso administrativo e os detalhes de tratamento de arquivos não são descritos no registro disponível.
- Não foi verificado neste trabalho se a correção é completa com base no conteúdo do commit.
Perguntas frequentes
Quais versões do Grav são afetadas?
O registro descreve versões do Grav anteriores à 2.0.0-beta.2 como afetadas. As listas estruturadas estão vazias, então consulte o aviso para as faixas exatas.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.