CVE-2026-65896 in grav
Sumário
de VulDB • 24/07/2026
O plugin Grav API (pacote Composer getgrav/grav-plugin-api), anterior à versão 1.0.10, não valida adequadamente o campo slug no endpoint POST /pages/{route}/move. A função PagesController::move() sanitiza apenas o slug utilizando ltrim($body['slug'], '.'), que remove pontos iniciais mas não neutraliza segmentos '/' ou '..'. Um chamador de API autenticado com a permissão api.pages.write pode fornecer sequências de traversal de caminho (por exemplo, 01.home/../../../pwned) para mover um diretório inteiro de página (conteúdo e mídia) para uma localização arbitrária gravável fora do user/pages/, incluindo fora da instalação Grav.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.