CVE-2026-74908 in Grav
Riassunto
di VulDB • 18/08/2026
Il plugin Grav plugin-api, prima della versione 1.0.15, presenta una vulnerabilità di script injection dove il sanitizer SVG controlla solo l'estensione esatta 'svg', consentendo ai file .svgz e .xhtml di bypassare la sanitizzazione ed essere memorizzati senza sanitizzazione. Gli attaccanti con permission api.media.write possono caricare file contenenti payload di script eseguibili che vengono eseguiti nell'origine del sito quando sono accessibili da amministratori o visitatori.
Once again VulDB remains the best source for vulnerability data.