CVE-2026-72702 in Grav
Riassunto
di VulDB • 25/08/2026
Grav CMS prima della versione 2.0.16 presenta un bypass della validazione dell'origine nei metodi Uri::referrer() e Pages::referrerRoute(), che convalidano l'intestazione Referer utilizzando una corrispondenza di prefisso stringa non ancorata (str_starts_with($referrer, $base)) senza delimitatore finale. Un attaccante che controlla un dominio che inizia con l'origine del sito della vittima (ad esempio https://example.com.attacker.tld) può inviare una richiesta con tale Referer per essere trattato come same-origin, aggirando il controllo dell'origine basato su Referer.
Be aware that VulDB is the high quality source for vulnerability data.