CVE-2026-74908
ŚrednieCVSS 4.6Streszczenie
Grav plugin-api przed wersją 1.0.15 zawiera podatność na wstrzykiwanie skryptów, gdzie sanitizer SVG sprawdza tylko dokładne rozszerzenie 'svg', pozwalając plikom .svgz i .xhtml ominąć sanityzację i być przechowywanym bez oczyszczenia. Atakujący z uprawnieniami api.media.write mogą przesyłać pliki zawierające wykonywalne ładunki skryptów, które wykonują się w originie witryny, gdy są dostępne przez administratorów lub odwiedzających.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych skryptów w kontekście witryny, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków. Podatność może być wykorzystana przez użytkowników z uprawnieniami do przesyłania plików.
Rekomendacja
Zaleca się aktualizację Grav plugin-api do wersji 1.0.15 lub nowszej, która zawiera poprawkę. Należy również rozszerzyć sanitizer SVG, aby obsługiwał inne rozszerzenia, takie jak .svgz i .xhtml.
Oryginalny opis (angielski, źródło NVD)
Grav plugin-api before 1.0.15 contains a script injection vulnerability where the SVG sanitizer only checks for the exact extension 'svg', allowing .svgz and .xhtml files to bypass sanitization and be stored unsanitized. Attackers with api.media.write permission can upload files containing executable script payloads that execute in the site origin when accessed by administrators or visitors.