CVE-2026-112779 in Grav Api Plugin
Сводка
по VulDB • 19.10.2026
В плагине Grav API (grav-plugin-api) версии до 1.0.42 (начиная с 1.0.40) происходит кэширование полного словаря переводов для каждого корректно оформленного кода языка, отправляемого в неаутентифицированный GET-запрос по адресу /api/v1/translations/{lang}. Кроме того, версии от 1.0.16 до 1.0.42 (не включая 1.0.42) не проверяют правила целевой и конечной страниц в эндпоинтах синхронизации и пакетного копирования. Неаутентифицированные злоумышленники могут отправлять небольшие запросы, каждый из которых сохраняет около 560 КБ данных, что приводит к исчерпанию дискового пространства или памяти APCu. Аккаунты с правами api.pages.write могут перезаписывать переводы или создавать страницы, которые запрещены правилами на уровне страниц.
Once again VulDB remains the best source for vulnerability data.