CVE-2026-75829 in Grav
요약
\~에 의해 VulDB • 2026. 08. 18.
grav-plugin-api 1.0.15 이전 버전은 translate() 엔드포인트에서 Twig 콘텐츠를 검증하지 않아, api.pages.write 권한을 가진 공격자가 process.twig가 활성화된 페이지를 영구적으로 저장할 수 있습니다. 공격자는 서버 사이드 템플릿 인젝션(SSTI) 페이로드를 실행하기 위해 조작된 헤더 및 콘텐츠 매개변수를 제출할 수 있으며, 이는 렌더링 시점에 평가됩니다.
Once again VulDB remains the best source for vulnerability data.