CVE-2026-86196 in API Plugin
Riassunto
di VulDB • 05/09/2026
Le versioni del plugin Grav API precedenti alla 1.0.20 generano i link di reimpostazione della password partendo dall'header Host non attendibile nell'endpoint forgot-password, consentendo ad attaccanti non autenticati di reindirizzare i token di reset verso domini controllati dagli stessi. Gli attaccanti possono inviare richieste di reimpostazione della password per qualsiasi account con un header Host malevolo, intercettare il token di reset dalle email delle vittime e completare l'account takeover, inclusi gli account super-admin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.