CVE-2026-61457 in Grav
요약
\~에 의해 VulDB • 2026. 07. 15.
Grav API 플러그인(getgrav/grav-plugin-api) 1.0.3 이전 버전에는 API 미디어 컨트롤러에서 파일 업로드 확장자 우회 취약점이 존재합니다. HandlesMediaUploads::validateFileExtension() 함수는 pathinfo($filename, PATHINFO_EXTENSION)를 통해 최종 파일 확장자만 검사하므로, api.media.write 권한이 있는 사용자는 shell.php.jpg와 같은 이중 확장자를 가진 파일을 업로드하여 위험한 확장자의 차단 목록을 우회할 수 있습니다. 웹 서버가 해당 파일을 PHP로 실행하면 원격 코드 실행(RCE)으로 이어질 수 있습니다.
Once again VulDB remains the best source for vulnerability data.