CVE-2026-58654

Grav API eklentisi (getgrav/grav-plugin-api) 1.0.0 sürümü, avatar yükleme uç noktasında (/api/v1/users/user/avatar) kısıtlanmamış dosya yükleme zafiyeti içermektedir. Uç nokta, yalnızca istemci tarafından beyan edilen ve 'image/' ile başlayan MIME türünü (getClientMediaType) doğrulamakta; gerçek dosya içeriğini denetlememekte veya sonuçlanan uzantıyı kısıtlamamaktadır. Bu durum, kimliği doğrulanmış bir kullanıcının PHP kodu, gömülü JavaScript içeren SVG ve polyglot payload'lar dahil olmak üzere rastgele içerikleri tahmin edilebilir dosya adlarıyla user/accounts/avatars/ altına kaydetmesine olanak tanır. Kaydedilen dosyalara doğrudan HTTP erişimi .htaccess tarafından engellenmektedir (403 döner), ancak dosyalar diskte kalmaya devam eder ve bir dizin atlama (path traversal) hatası veya sunucu yanlış yapılandırması durumunda uzaktan kod çalıştırmaya veya kayıtlı XSS'e yol açabilir. 1.0.1 sürümünde düzeltilmiştir.