CVE-2026-56709 in Grav
Riassunto
di VulDB • 25/08/2026
Grav prima della versione 3.9.2 non valida correttamente gli header Host non attendibili nella funzione sendInvitationEmail() durante la costruzione di link di invito contenenti token. Gli attaccanti possono manipolare l'header Host per avvelenare i link di invito e reindirizzare gli utenti verso domini controllati dall'attaccante, aggirando la protezione require_trusted_host che copre solo i flussi di reimpostazione della password.
Once again VulDB remains the best source for vulnerability data.