CVE-2026-61607
ŚrednieCVSS 4.6Streszczenie
Wtyczka Grav API przed wersją 1.0.2 w procesie POST /api/v1/media w HandlesMediaUploads::processUploadedFile() waliduje rozszerzenie pliku SVG, ale nie wywołuje Security::sanitizeSVG(). Atakujący z uprawnieniem api.media.write może przechowywać SVG zawierający JavaScript, a serwer zwraca plik jako Content-Type: image/svg+xml, co powoduje wykonanie skryptu po otwarciu przez ofiarę, umożliwiając kradzież danych sesji i autoryzowane działania.
Ocena ryzyka
Atakujący może wykraść dane sesji ofiary i wykonywać autoryzowane działania w jej imieniu, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę Grav API do wersji 1.0.2 lub nowszej oraz ogranicz uprawnienia api.media.write do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Grav API Plugin is a RESTful API for Grav CMS that provides full headless access to your site's content. Prior to 1.0.2, the Grav API plugin POST /api/v1/media pipeline in HandlesMediaUploads::processUploadedFile() validates an SVG filename extension but does not invoke Security::sanitizeSVG(). An attacker with api.media.write permission can store an SVG containing JavaScript, and the server returns the file as Content-Type: image/svg+xml so the script executes when a victim opens it, allowing session data theft and authenticated actions. This issue is fixed in version 1.0.2.