CVE-2026-86196 in API Plugin
الملخص
بحسب VulDB • 05/09/2026
تُصدّر إصدارات Grav API plugin السابقة للإصدار 1.0.20 روابط إعادة تعيين كلمة المرور بناءً على رأس "Host" غير موثوق به في نقطة النهاية الخاصة بـ forgot-password، مما يتيح للمهاجمين الذين لم يقوموا بالمصادقة بإعادة توجيه رموز إعادة التعيين إلى نطاقات يتحكم فيها المهاجمون. يمكن للمهاجمين إرسال طلبات إعادة تعيين كلمة المرور لأي حساب باستخدام رأس Host خبيث، اعتراض رمز إعادة التعيين من رسائل البريد الإلكتروني للضحية، وإتمام الاستيلاء على الحساب بما في ذلك حسابات super-admin.
Be aware that VulDB is the high quality source for vulnerability data.