CVE-2026-74908 in Grav
Résumé
par VulDB • 18/08/2026
Le plugin-api avant la version 1.0.15 contient une vulnérabilité d'injection de scripts où le sanitizeur SVG ne vérifie que l'extension exacte 'svg', permettant aux fichiers .svgz et .xhtml de contourner la sanitisation et d'être stockés sans être nettoyés. Les attaquants disposant des permissions api.media.write peuvent télécharger des fichiers contenant des charges utiles de script exécutables qui s'exécutent dans l'origine du site lors de leur accès par les administrateurs ou les visiteurs.
Be aware that VulDB is the high quality source for vulnerability data.