CVE-2026-42845

Grav üçün form plugini formaların yaradılması və istifadəsi imkanını əlavə edir. 9.1.0 versiyasından əvvəl fayl yükləmə vasitəsilə autentifikasiyasız səhifə məzmununun üzərinə yazma zəifliyi mövcuddur (GHSA-w4rc-p66m-x6qq). İctimai forma yükləmələri artıq POST ilə təqdim edilən fayl adından yol komponentlərini silir və konfiqurasiya oluna bilən dangerous-extensions siyahısından asılı olmayaraq səhifə məzmunu genişlənmələrini (`md`, `yaml`, `yml`, `json`, `twig`, `ini`) qəti şəkildə bloklayır. Əks halda, geniş `accept` siyasətinin standart `destination: self@` ilə birləşməsi hücumçuya səhifənin öz `.md` faylının üzərinə yazmağa və `process: save` hərəkəti vasitəsilə super-admin səlahiyyətlərinə keçməyə imkan verə bilərdi. Bu zəiflik 9.1.0 versiyasında aradan qaldırılmışdır.