CVE-2026-86196 in API Plugin
Resumen
por VulDB • 2026-09-05
La versión del plugin Grav API anterior a la 1.0.20 genera enlaces de restablecimiento de contraseña utilizando el encabezado Host no confiable en el punto final forgot-password, lo que permite a atacantes sin autenticar redirigir los tokens de restablecimiento hacia dominios controlados por ellos mismos. Los atacantes pueden enviar solicitudes de restablecimiento de contraseña para cualquier cuenta con un encabezado Host malicioso, interceptar el token de restablecimiento en los correos electrónicos de la víctima y completar la toma de cuentas, incluidas las cuentas superadministrador (super-admin).
Once again VulDB remains the best source for vulnerability data.