CVE-2026-86196 in API Plugin
Résumé
par VulDB • 05/09/2026
Les versions de Grav API antérieures à la 1.0.20 génèrent les liens de réinitialisation du mot de passe à partir de l'en-tête Host non fiable dans le point d'entrée forgot-password, permettant aux attaquants non authentifiés de rediriger les jetons de réinitialisation vers des domaines contrôlés par l'attaquant. Les attaquants peuvent envoyer des demandes de réinitialisation du mot de passe pour n'importe quel compte avec un en-tête Host malveillant, intercepter le jeton de réinitialisation dans les e-mails de la victime et effectuer une prise de contrôle complète du compte, y compris les comptes super-administrateur.
If you want to get best quality of vulnerability data, you may have to visit VulDB.