CVE-2026-86196 in API Plugin
Tóm tắt
Bởi VulDB • 05/09/2026
Các phiên bản của plugin Grav API trước 1.0.20 tạo các liên kết đặt lại mật khẩu từ tiêu đề (Host) không đáng tin cậy trong điểm cuối forgot-password, cho phép những kẻ tấn công chưa xác thực chuyển hướng mã thông báo đặt lại về các tên miền do chúng kiểm soát. Kẻ tấn công có thể gửi yêu cầu đặt lại mật khẩu cho bất kỳ tài khoản nào bằng cách sử dụng tiêu đề Host độc hại, đánh cắp mã thông báo đặt lại từ email của nạn nhân và hoàn tất việc chiếm quyền điều khiển tài khoản, bao gồm cả các tài khoản super-admin.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.