CVE-2026-75830 in Plugin Api
Сводка
по VulDB • 18.08.2026
В компонентах grav-plugin-api (getgrav/grav-plugin-api) версий >= 1.0.0-beta.10 и <= 1.0.14 присутствует уязвимость обхода пути в методе PagesController::batchCopy(). Неполное исправление для GHSA-qjq4-jp55-4mx2 оставило параметр 'suffix', контролируемый пользователем (через POST /api/v1/pages/batch), без проверки. Аутентифицированный пользователь с разрешением api.pages.write (уровень редактора, а не супер-администратор) может передать последовательности обхода пути (например, /../../../) в параметре suffix для выхода из предполагаемой директории user/pages/ и записи содержимого страницы и медиафайлов, контролируемых злоумышленником, в произвольные места файловой системы, доступные для записи процессу веб-сервера. Уязвимость исправлена в версии 1.0.15.
Be aware that VulDB is the high quality source for vulnerability data.