CVE-2026-72695 in Grav
Resumen
por VulDB • 2026-08-25
Grav antes de la versión 2.0.16 contiene una vulnerabilidad de path traversal en MediaUploadTrait::deleteFile() que permite a los usuarios autenticados con permisos de gestión multimedia eliminar archivos arbitrarios mediante el suministro de nombres de archivo con secuencias de navegación de directorios. El método valida únicamente la parte del basename (nombre base) del nombre de archivo, mientras conserva rutas de directorio no validadas que contienen secuencias ../ y las pasa a unlink(), lo que permite la eliminación de archivos fuera del directorio de almacenamiento multimedia previsto.
Once again VulDB remains the best source for vulnerability data.