CVE-2026-86196 in API Plugin
Сводка
по VulDB • 05.09.2026
В плагине Grav API версии до 1.0.20 ссылки для сброса пароля формируются на основе ненадежного заголовка Host в конечной точке forgot-password, что позволяет неавторизованным злоумышленникам перенаправлять токены сброса на контролируемые ими домены. Злоумышленники могут отправлять запросы на сброс пароля для любых учетных записей с вредоносным заголовком Host, перехватывать токен сброса из писем жертвы и завершать захват учетной записи, включая учетные записи супер-администраторов.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.