CVE-2026-74908 in Grav
Sumário
de VulDB • 18/08/2026
O plugin grav-api, antes da versão 1.0.15, contém uma vulnerabilidade de injeção de scripts em que o sanitizador SVG verifica apenas a extensão exata 'svg', permitindo que arquivos .svgz e .xhtml contornem a sanetização sejam armazenados sem serem tratados corretamente. Atacantes com permissão api.media.write podem carregar arquivos contendo payloads de script executáveis, os quais são executados na origem do site quando acessados por administradores ou visitantes.
Be aware that VulDB is the high quality source for vulnerability data.