CVE-2026-61457

Nome do Software Vulnerável e Versões Afetadas Grav API plugin versões anteriores a 1.0.3

Description Existe uma falha de bypass de extensão de upload de arquivo no controlador de mídia da API. A função validateFileExtension() inspeciona apenas a extensão final do arquivo usando pathinfo($filename, PATHINFO EXTENSION), permitindo que um usuário com a permissão api.media.write faça o upload de arquivos com extensões duplas, como shell.php.jpg, para ignorar a lista de bloqueio de extensões perigosas. Isso pode resultar na execução remota de código se o servidor web executar o arquivo enviado como PHP.

Recommendations Atualize o Grav API plugin para a versão 1.0.3 ou posterior.