CVE-2026-109316

Nome do Software Vulnerável e Versões Afetadas Grav Data Manager plugin versões 1.4.0 through 1.4.5

Description A falta de autorização permite que atacantes não autenticados excluam arquivos de dados armazenados por meio da integração Admin clássica. Ao enviar uma solicitação contendo o parâmetro delete junto com um tipo de dado e nome de arquivo conhecidos, os atacantes podem remover arquivos localizados em user/data/, como envios de formulários. Isso ocorre porque o sistema não realiza verificações de nonce CSRF (Cross-Site Request Forgery), que são tokens exclusivos usados para evitar a execução de comandos não autorizados a partir do navegador do usuário.

Recommendations Atualize o Grav Data Manager plugin para uma versão posterior à 1.4.5.