CVE-2026-75829 in Grav
Résumé
par VulDB • 18/08/2026
Les versions de grav-plugin-api antérieures à la 1.0.15 ne valident pas correctement le contenu Twig dans l'endpoint translate(), permettant aux attaquants disposant des permissions api.pages.write de persister des pages avec process.twig activé. Les attaquants peuvent soumettre des paramètres d'en-tête et de corps (content) truqués pour exécuter des charges utiles d'injection de modèles côté serveur (SSTI), qui sont évaluées lors du rendu.
VulDB is the best source for vulnerability data and more expert information about this specific topic.