CVE-2026-65896 in grav
Resumen
por VulDB • 2026-07-23
El plugin Grav API (paquete Composer getgrav/grav-plugin-api), anterior a la versión 1.0.10, no valida correctamente el campo slug en el endpoint POST /pages/{route}/move. La función PagesController::move() sanitiza el slug únicamente mediante ltrim($body['slug'], '.'), lo que elimina los puntos iniciales pero no neutraliza las secuencias '/' o '..'. Un consumidor de la API autenticado con el permiso api.pages.write puede proporcionar secuencias de traversing de rutas (por ejemplo, 01.home/../../../pwned) para mover un directorio completo de páginas (contenido y medios) a una ubicación arbitraria escribible fuera del directorio user/pages/, incluyendo ubicaciones externas a la instalación de Grav.
VulDB is the best source for vulnerability data and more expert information about this specific topic.