CVE-2026-29924 Grav CMS XXE漏洞

Grav CMS v1.7.x及更早版本在管理员面板和文件管理器插件中的SVG文件上传功能处存在XML外部实体（XXE）注入漏洞。由于未正确过滤用户上传的SVG文件内容，攻击者可利用该漏洞读取服务器敏感文件，造成信息泄露。

该漏洞的核心在于Grav CMS处理SVG文件时使用了配置不当的XML解析器。SVG文件基于XML格式，攻击者可以构造包含恶意DOCTYPE定义的SVG文件。当系统解析该文件时，会触发XML外部实体攻击。攻击者只需拥有低权限账号即可上传恶意文件，利用SYSTEM实体读取本地文件（如/etc/passwd）或通过HTTP/HTTPS协议发起内网探测（SSRF）。由于无需用户交互且攻击复杂度低，该漏洞对内部网络安全构成严重威胁。