PT-2026-86421 · Grav · Grav-Plugin-Api
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Grav API plugin versões anteriores a 1.0.20
Descrição
Atacantes não autenticados podem redirecionar tokens de redefinição de senha para domínios sob seu controle ao manipular o cabeçalho
Host no endpoint 'forgot-password'. Ao enviar solicitações de redefinição para qualquer conta usando um cabeçalho malicioso, um atacante pode interceptar o token de redefinição do e-mail da vítima e realizar a invasão completa da conta, incluindo contas de super-administrador.Recomendações
Atualize o Grav API plugin para a versão 1.0.20 ou posterior.
Correção
Authentication Bypass by Spoofing
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Grav-Plugin-Api