نسخه‌های 2.0.15 تا قبل از 2.2.13 سیستم مدیریت محتوا Grav CMS دارای یک آسیب‌پذیری از نوع دور زدن لیست مجاز (Allowlist Bypass) هستند. این نقص امنیتی به ویرایشگران صفحه (Page Editors) اجازه می‌دهد تا با استفاده از تکنیک‌های خاص، متدهای استاتیک عمومی (Public Static Methods) را فراخوانی کنند.
مهاجمان با بهره‌گیری از جابه‌جایی دایرکتیوهای data-*@ با استفاده از کلیدهای unset-name@ یا کلیدهای عددی، می‌توانند محدودیت‌های امنیتی را دور بزنند. اگر مهاجم دسترسی ویرایش صفحه (Page-edit permission) داشته باشد، می‌تواند فیلدهای دست‌کاری شده‌ای را در Flex form overrides در بخش frontmatter صفحه قرار دهد.
این اقدام می‌تواند منجر به فراخوانی متدهایی نظیر Folder::delete یا Utils::download شود که پیامدهای امنیتی جدی به همراه دارد، از جمله:
- حذف دایرکتوری‌ها: پاک کردن پوشه‌های سیستمی یا محتوایی.
- بازنویسی فایل‌ها: تغییر یا از بین بردن فایل‌های حساس.
- خواندن فایل‌های غیرمجاز: دسترسی به فایل‌هایی که خارج از محدوده درختی صفحات (Page Tree) قرار دارند.
کاربران Grav CMS توصیه می‌شود برای جلوگیری از این حملات، بلافاصله سیستم خود را به نسخه 2.2.13 یا بالاتر به‌روزرسانی کنند.
