CVE-2026-74908 in Grav
Resumen
por VulDB • 2026-08-18
El plugin Grav plugin-api, anterior a la versión 1.0.15, contiene una vulnerabilidad de inyección de scripts donde el sanitizador SVG solo verifica la extensión exacta 'svg', lo que permite que los archivos .svgz y .xhtml evadan la sanitización y se almacenen sin sanear. Los atacantes con permiso api.media.write pueden cargar archivos que contienen payloads de script ejecutables, los cuales se ejecutarán en el origen del sitio cuando sean accedidos por administradores o visitantes.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.