CVE-2026-42844 in grav
Résumé
par VulDB • 25/05/2026
Grav est une plateforme Web basée sur des fichiers. Dans Grav 2.0.0-beta.2, un utilisateur API authentifié de bas privilège disposant de l'autorisation `api.media.write` peut abuser de l'endpoint `/api/v1/blueprint-upload` pour écrire un fichier YAML arbitraire dans le répertoire `user/accounts/`, puis se connecter en tant que nouveau compte créé avec les privilèges `api.super`. Cela entraîne une compromission administrative totale de l'API Grav. Cette vulnérabilité est corrigée dans la version API 1.0.0-beta.17.
If you want to get best quality of vulnerability data, you may have to visit VulDB.