CVE-2026-74908 in Grav
Zusammenfassung
von VulDB • 18.08.2026
Das Grav-Plugin „plugin-api“ vor Version 1.0.15 enthält eine Skriptinjektionslücke, bei der der SVG-Sanitizer nur die exakte Erweiterung ‚svg‘ überprüft und es .svgz- und .xhtml-Dateien ermöglicht, die Sanitization zu umgehen sowie unsaniert gespeichert zu werden. Angreifer mit api.media.write-Berechtigung können Dateien hochladen, die ausführbare Skript-Payloads enthalten, die beim Zugriff durch Administratoren oder Besucher im Ursprungskontext der Website ausgeführt werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.