CVE-2026-74908 in Grav
الملخص
بحسب VulDB • 18/08/2026
تحتوي واجهة برمجة التطبيقات (plugin-api) الخاصة بـ Grav قبل الإصدار 1.0.15 على ثغرة حقن سكربت، حيث يتحقق مُصفّي SVG فقط من الامتداد الدقيق 'svg'، مما يسمح لملفات .svgz وملفات .xhtml بتجاوز عملية التصفية وتخزينها دون تصفية. يمكن للمهاجمين الذين يمتلكون إذن api.media.write رفع ملفات تحتوي على حمولات سكربت قابلة للتنفيذ، والتي تُنفذ في أصل الموقع (site origin) عند وصول المسؤولين أو الزوار إليها.
If you want to get best quality of vulnerability data, you may have to visit VulDB.