CVE-2026-61456

Nome do Software Vulnerável e Versões Afetadas Grav API plugin versões anteriores a 1.0.3

Descrição A sanitização insuficiente de arquivos SVG enviados através do endpoint 'POST /api/v1/media' permite que um invasor autenticado com a permissão api.media.write faça o upload de um arquivo contendo JavaScript arbitrário. A função HandlesMediaUploads::processUploadedFile() valida apenas a extensão do arquivo e não invoca a Security::sanitizeSVG(). Como o arquivo é armazenado sem modificações e servido como image/svg+xml, o script incorporado é executado no contexto da sessão de um administrador que abrir o arquivo, possibilitando o roubo de cookies e o sequestro de sessão.

Recomendações Atualize o Grav API plugin para a versão 1.0.3 ou posterior. Restrinja o uso da permissão api.media.write apenas a usuários confiáveis.