CVE-2026-42845

Grav için geliştirilen form eklentisi, formlar oluşturma ve kullanma yeteneği ekler. 9.1.0 sürümünden önce, dosya yükleme yoluyla kimlik doğrulaması gerektirmeyen bir sayfa içeriği üzerine yazma zafiyeti bulunmaktadır (GHSA-w4rc-p66m-x6qq). Genel form yüklemeleri artık POST ile sağlanan dosya adındaki yol bileşenlerini temizlemekte ve yapılandırılabilir dangerous-extensions listesinden bağımsız olarak sayfa içeriği uzantılarını (`md`, `yaml`, `yml`, `json`, `twig`, `ini`) kesin olarak engellemektedir. Esnek bir `accept` politikası ile varsayılan `destination: self@` kullanımı, aksi takdirde bir saldırganın sayfanın kendi `.md` dosyası üzerine yazmasına ve `process: save` işlemi aracılığıyla süper yöneticiye geçiş yapmasına izin verebilirdi. Bu zafiyet 9.1.0 sürümünde giderilmiştir.