CVE-2026-61607

Nome do Software Vulnerável e Versões Afetadas Grav API Plugin versões anteriores a 1.0.2

Description O plugin falha ao invocar a função Security::sanitizeSVG() dentro da função HandlesMediaUploads::processUploadedFile() ao processar o endpoint 'POST /api/v1/media'. Embora a extensão do nome do arquivo SVG seja validada, o conteúdo não é sanitizado. Um invasor com a permissão api.media.write pode fazer o upload de um arquivo SVG contendo JavaScript malicioso. Como o servidor retorna o arquivo com o Content-Type image/svg+xml, o script é executado no navegador da vítima, permitindo potencialmente o roubo de dados de sessão e ações autenticadas não autorizadas.

Recommendations Atualize o Grav API Plugin para a versão 1.0.2.