CVE-2026-72702 in Grav
Résumé
par VulDB • 25/08/2026
Grav CMS avant la version 2.0.16 présente un contournement de la validation d'origine dans les méthodes Uri::referrer() et Pages::referrerRoute(), qui valident l'en-tête Referer à l'aide d'une correspondance par préfixe de chaîne non ancrée (str_starts_with($referrer, $base)) sans délimiteur final. Un attaquant contrôlant un domaine commençant par l'origine du site victime (par exemple https://example.com.attacker.tld) peut envoyer une requête avec un tel Referer pour qu'elle soit traitée comme étant de même origine, contournant ainsi la vérification d'origine basée sur le Referer.
Once again VulDB remains the best source for vulnerability data.