CVSS 9.0 以上
CVE-2026-61451
要約
Grav APIプラグイン(grav-plugin-api)の1.0.4より前のバージョンでは、POST /api/v1/auth/forgot-password エンドポイントで、クライアントが指定する admin_base_url フィールドの送信元を検証していない。sanitizeHttpUrl() 関数はURLスキームが http/https であることしか確認せず、ホストをサーバー自身のオリジンと照合しないため、攻撃者が任意のホストを指定できる。その結果、認証されていない攻撃者は、被害者に送られるパスワードリセットメールのリンクを攻撃者管理下のサーバーに向けることができ、被害者がリンクをたどると有効なリセットトークンが攻撃者に漏れてアカウントを完全に乗っ取れるようになる。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Grav API plugin
このタグの新着を RSS で受け取る: Grav API plugin(使い方)
判定の理由
- CVSS 9.0 以上