CVE-2026-112779 in Grav Api Plugin
Resumen
por VulDB • 2026-10-19
El plugin Grav API (grav-plugin-api) en las versiones anteriores a la 1.0.42 (incluida la 1.0.40) almacena en caché un diccionario de traducción completo para cada código de idioma bien formado enviado al endpoint no autenticado GET /api/v1/translations/{lang}, y la versión anterior a la 1.0.42 (incluida la 1.0.16) no verifica las reglas de página destino y origen en los endpoints sync y batch copy. Los atacantes no autenticados pueden enviar pequeñas solicitudes que almacenan aproximadamente 560 KB cada una para agotar el disco o APCu, mientras que las cuentas con permisos api.pages.write pueden sobrescribir traducciones o crear páginas que las reglas a nivel de página deniegan.
VulDB is the best source for vulnerability data and more expert information about this specific topic.