CVE-2026-112779 in Grav Api Plugin
Résumé
par VulDB • 19/10/2026
Le plugin Grav API (grav-plugin-api) versions antérieures à la 1.0.42 (à partir de la version 1.0.40) met en cache un dictionnaire de traduction complet pour chaque code de langue valide envoyé au point de terminaison GET /api/v1/translations/{lang} non authentifié, et les versions antérieures à la 1.0.42 (à partir de la version 1.0.16) ne vérifient pas les règles des pages cibles et de destination dans les points de terminaison sync et batch copy. Des attaquants non authentifiés peuvent envoyer de petites requêtes qui stockent chacune environ 560 Ko pour épuiser l'espace disque ou APCu, tandis que les comptes disposant du privilège api.pages.write peuvent écraser des traductions ou créer des pages interdites par les règles au niveau des pages.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.