CVE-2026-75829
WysokieCVSS 8.1Streszczenie
Wtyczka grav-plugin-api przed wersją 1.0.15 nie waliduje zawartości Twig w punkcie końcowym translate(), co pozwala atakującym z uprawnieniami api.pages.write na utrwalanie stron z włączonym process.twig. Atakujący mogą przesłać spreparowane parametry header i content, aby wykonać ładunki wstrzyknięcia szablonów po stronie serwera, które są oceniane podczas renderowania.
Ocena ryzyka
Ryzyko polega na zdalnym wykonaniu kodu po stronie serwera, co może prowadzić do pełnego przejęcia kontroli nad serwerem i naruszenia poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki grav-plugin-api do wersji 1.0.15 lub nowszej oraz ograniczenie uprawnień api.pages.write tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
grav-plugin-api versions before 1.0.15 fail to validate Twig content in the translate() endpoint, allowing attackers with api.pages.write permission to persist pages with process.twig enabled. Attackers can submit crafted header and content parameters to execute server-side template injection payloads that are evaluated at render time.