Haftoe

**Nome do Software Vulnerável e Versões Afetadas** Grav versões 1.7.0 até 2.0.8 **Descrição** Usuários autenticados com permissões de criação ou atualização em diretórios baseados em Flex, como Flex Users, Flex Pages, Flex Objects ou tipos Flex personalizados, podem executar comandos de shell arbitrários no servidor. O problema ocorre porque a função `FlexDirectory::dynamicDataField()` resolve diretivas `data-*@:` de blueprint usando `call user func array()` em entradas influenciadas pelo usuário. Embora o sistema verifique se o alvo é chamável via `is callable()`, ele não restringe funções perigosas como `exec`, `system`, `passthru` ou `shell exec`. Este comportamento ignora validações implementadas anteriormente em `Blueprint::dynamicData()`. **Recomendações** Atualize o Grav para a versão 2.0.9 ou posterior.