第一章：引言与漏洞概述 在当今的 Web 生态中，轻量级、无数据库的 Flat-File CMS（如 Grav、Flextype、Kirby 等）因其部署简单、性能优异而受到大量中小型站点的青睐。然而，摆脱了关系型数据库的束缚，并不意味着摆脱了传统 Web 漏洞的阴影。相反，由于高度依赖文件系统进行数据存储与解析，此类系统在输入处理、模板渲染及数据反序列化层面的安全设计往往面临更为严峻的考验。 近期披露的 CVE-2026-77939 正是一个典型的架构级安全缺陷。该漏洞存在于 Flextype CMS 的 API 查询模块中，由于其未能对用户输入进行有效的边界隔离，直接将外部数据交由 Symfony ExpressionLanguage 引擎进行求值（Evaluate）。更为致命的是，底层框架在初始化引擎时，打破了 Symfony 原生的沙箱限制，向求值作用域（Context）内暴露了包