CVE-2026-86196

Nome do Software Vulnerável e Versões Afetadas Grav API plugin versões anteriores a 1.0.20

Descrição Atacantes não autenticados podem redirecionar tokens de redefinição de senha para domínios sob seu controle ao manipular o cabeçalho Host no endpoint 'forgot-password'. Ao enviar solicitações de redefinição para qualquer conta usando um cabeçalho malicioso, um atacante pode interceptar o token de redefinição do e-mail da vítima e realizar a invasão completa da conta, incluindo contas de super-administrador.

Recomendações Atualize o Grav API plugin para a versão 1.0.20 ou posterior.