CVE-2026-62668
Açıklama
Grav API Plugin, Grav CMS için sitenizin içeriğine tam headless erişim sağlayan bir RESTful API'dir. 1.0.6 sürümünden önce, Grav API eklentisindeki WebhookController.php, webhook URL'lerini yalnızca FILTER_VALIDATE_URL sözdizimi doğrulamasından sonra kabul eder ve WebhookDispatcher.php, cURL'ü CURLOPT_PROTOCOLS veya CURLOPT_REDIR_PROTOCOLS kısıtlamaları olmadan başlatır. api.webhooks.write yetkisine sahip bir hesap; file, dict, gopher, özel ağ veya link-local hedefleri gönderebilir, yerel dosyaları ve teslimat yanıt gövdelerini alabilir ve istekleri iç hizmetlere veya bulut meta veri uç noktalarına yönlendirebilir. Bu sorun 1.0.6 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | < 2.0.4 | — |
| getgrav grav-plugin-api | < 1.0.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.