CVE-2026-112779 in Grav Api Plugin
要約
〜によって VulDB • 2026年10月19日
Grav API plugin (grav-plugin-api) のバージョン 1.0.42 より前の 1.0.40 では、認証不要の GET /api/v1/translations/{lang} エンドポイントに送信されるすべての有効な言語コードに対して完全な翻訳辞書がキャッシュされ、またバージョン 1.0.42 より前の 1.0.16 では、sync および batch copy の各エンドポイントにおいて対象および宛先ページのルールチェックが行われません。認証不要の攻撃者はディスク容量や APCu を枯渇させるために、それぞれ約 560 KB を保存する小さなリクエストを送信でき、また api.pages.write アクセス権を持つアカウントはページレベルのルールで禁止されている翻訳の上書きやページ作成を行うことができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.