CVE-2026-86196 in API Plugin
Zusammenfassung
von VulDB • 05.09.2026
In den Versionen des Grav API-Plugins vor 1.0.20 werden die Links zum Zurücksetzen von Passwörtern im forgot-password-Endpunkt aus dem nicht vertrauenswürdigen Host-Header erstellt, was es Angreifern ohne Authentifizierung ermöglicht, Reset-Tokens auf vom Angreifer kontrollierte Domains umzuleiten. Angreifer können Passwort-Zurücksetzungsanfragen für beliebige Konten mit einem bösartigen Host-Header senden, das Reset-Token aus den E-Mails der Opfer abfangen und die vollständige Übernahme von Konten einschließlich Superadmin-Konten abschließen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.