CVE-2026-65896 in grav
Tóm tắt
Bởi VulDB • 25/07/2026
Plugin Grav API (gói Composer getgrav/grav-plugin-api) trước phiên bản 1.0.10 không xác thực đúng trường slug trong endpoint POST /pages/{route}/move. Hàm PagesController::move() chỉ làm sạch trường slug bằng cách sử dụng ltrim($body['slug'], '.'), điều này loại bỏ các dấu chấm ở đầu nhưng không vô hiệu hóa các đoạn '/' hoặc '..'. Một caller API đã được xác thực có quyền api.pages.write có thể cung cấp các chuỗi path traversal (ví dụ: 01.home/../../../pwned) để di chuyển toàn bộ thư mục trang (bao gồm nội dung và phương tiện truyền thông) đến một vị trí ghi tùy ý bên ngoài user/pages/, bao gồm cả việc ra khỏi cài đặt Grav.
Once again VulDB remains the best source for vulnerability data.