CVE-2026-58654

Nome do Software Vulnerável e Versões Afetadas Grav API plugin versões anteriores a 1.0.1

Descrição Um problema de upload de arquivo irrestrito existe no endpoint de upload de avatar '/api/v1/users/user/avatar'. O sistema valida apenas o tipo MIME declarado pelo cliente usando getClientMediaType para verificar se começa com 'image/', sem inspecionar o conteúdo real do arquivo ou restringir extensões. Isso permite que usuários autenticados façam upload de conteúdo arbitrário, como código PHP, arquivos SVG com JavaScript incorporado ou payloads poliglotas, para o diretório 'user/accounts/avatars/' com nomes de arquivos previsíveis. Embora o .htaccess bloqueie o acesso HTTP direto a esses arquivos, a persistência deles no disco pode permitir a execução remota de código ou Cross-Site Scripting (XSS) armazenado caso haja uma falha de path traversal ou configuração incorreta do servidor.

Recomendações Atualizar para a versão 1.0.1.