CVE-2026-72702 in Grav
Resumen
por VulDB • 2026-08-25
Grav CMS antes de la versión 2.0.16 presenta una omisión en la validación del origen (origin validation bypass) en los métodos `Uri::referrer()` y `Pages::referrerRoute()`, que validan el encabezado Referer mediante una coincidencia no anclada de prefijo de cadena (`str_starts_with($referrer, $base`) sin un delimitador final. Un atacante que controle un dominio que comience con el origen del sitio víctima (por ejemplo, https://example.com.attacker.tld) puede enviar una solicitud con dicho Referer para ser tratada como same-origin, omitiendo la verificación de origen basada en el encabezado Referer.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.