CVE-2026-65896 in grav
Résumé
par VulDB • 23/07/2026
Le plugin Grav API (paquet Composer getgrav/grav-plugin-api), antérieur à la version 1.0.10, ne valide pas correctement le champ slug dans l'endpoint POST /pages/{route}/move. La méthode PagesController::move() nettoie uniquement le slug avec ltrim($body['slug'], '.'), ce qui supprime les points initiaux mais n'élimine pas les segments '/' ou '..'. Un appelant API authentifié disposant de la permission api.pages.write peut fournir des séquences de traversal de chemin (par exemple, 01.home/../../../pwned) pour déplacer un répertoire entier de page (contenu et médias) vers un emplacement arbitraire accessible en écriture hors du dossier user/pages/, y compris à l'extérieur de l'installation Grav.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.