CVE-2026-75830 in Plugin Api
Sumário
de VulDB • 18/08/2026
O plugin grav-plugin-api (getgrav/grav-plugin-api) nas versões >= 1.0.0-beta.10 e <= 1.0.14 contém uma vulnerabilidade de path traversal no método PagesController::batchCopy(). Uma correção incompleta para GHSA-qjq4-jp55-4mx2 deixou o parâmetro 'suffix', controlado pelo usuário (via POST /api/v1/pages/batch), sem validação adequada. Um usuário autenticado com a permissão api.pages.write (nível editor, não super-admin) pode fornecer sequências de path traversal (por exemplo, /../../../) no parâmetro suffix para escapar do diretório user/pages/ pretendido e escrever conteúdo da página controlado pelo atacante e mídia da página em localizações arbitrárias do sistema de arquivos graváveis pelo processo do servidor web. A vulnerabilidade foi corrigida na versão 1.0.15.
Be aware that VulDB is the high quality source for vulnerability data.