Summary
Vulnerability in Grav Email plugin (CVE-2026-75574). Successful exploitation can lead to full system takeover. Exploitable via POST /api/v1/email/send.
Original description
The description as published by the source.
The Grav Email plugin (getgrav/grav-plugin-email) before 4.2.2 renders page-editor-controlled Email action parameters as unsandboxed Twig templates. An authenticated remote user with only api.access and api.pages.write permissions can place a Twig expression in header.form.process.email.body, publish the page, and submit the form to execute an arbitrary operating-system command as the account running PHP.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Grav Emailプラグインのバージョン4.2.2より前は、ページエディタが管理するEmailアクションパラメータを制限なしでTwigテンプレートとしてレンダリングします。このため、認証済みのリモートユーザーが任意のOSコマンドを実行可能となります。
Grav Emailプラグインで任意のOSコマンドが実行可能になる脆弱性。
Grav Emailプラグインのバージョン4.2.2以前。
高い危険性があり、任意のOSコマンドの実行を許します。
プラグインをバージョン4.2.2以上に更新してください。
なし、更新が必要です。
API権限設定とページ公開操作を確認することで影響を判断できます。
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com