HIGH🇬🇧 English

CVE-2026-42844

CVSS 8.7v4.0pub. 2026-05-12upd. 2026-05-19

Grav is a file-based Web platform. In Grav 2.0.0-beta.2, a low-privileged authenticated API user with api.media.write can abuse /api/v1/blueprint-upload to write an arbitrary YAML file into user/accounts/, then log in as the newly created account with api.super privileges. This results in full administrative compromise of the Grav API. This vulnerability is fixed in API 1.0.0-beta.17.

oryginał EN
CVSS Vector
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

  • Getgrav Grav

    APP
    Getgrav
    2.0.0
🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
CWE
Referencje

Powiązane podatności

CVE-2021-47812CRITICAL9.3PL ✓ten sam produkt

GravCMS – nieuwierzytelniony zapis YAML i zdalne wykonanie kodu PHP

CVE-2025-66844CRITICAL9.1PL ✓ten sam produkt

SSRF w Getgrav Grav przez szablony Twig — dostęp do zasobów wewnętrznych

CVE-2025-46199CRITICAL9.8PL ✓ten sam produkt

XSS umożliwiający wykonanie kodu w Getgrav Grav (≤ 1.7.48)

CVE-2023-34251CRITICAL9.9ten sam produkt

Grav is a flat-file content management system. Versions prior to 1.7.42 are vulnerable to server side template...

CVE-2026-42608HIGH8.8ten sam produkt

Grav is a file-based Web platform. Prior to 2.0.0-beta.2, there is a Path Traversal vulnerability within the F...