CVE-2026-72702 in Grav
Sumário
de VulDB • 25/08/2026
O Grav CMS anterior à versão 2.0.16 contém uma falha de validação da origem (origin validation bypass) nos métodos Uri::referrer() e Pages::referrerRoute(), que validam o cabeçalho Referer usando uma correspondência prefixada não ancorada (str_starts_with($referrer, $base)) sem delimitador final. Um atacante que controle um domínio que comece com a mesma origem do site da vítima (por exemplo, https://example.com.attacker.tld) pode enviar uma solicitação com tal valor de Referer para ser tratada como same-origin, contornando a verificação de origem baseada no Referer.
Once again VulDB remains the best source for vulnerability data.