VULNERABILIDAD
CVE-2026-112779 Agotamiento de caché y evasión de permisos de página en el plugin API de Grav
El plugin API de Grav (grav-plugin-api) 1.0.40 antes de 1.0.42 almacena en caché un diccionario de traducción completo por cada código de idioma bien formado enviado al endpoint no autenticado GET /api/v1/translations/{lang}, y 1.0.16 antes de 1.0.42 no verifica las reglas de página de origen y destino en los endpoints sync y batch copy. Atacantes no autenticados pueden agotar disco o APCu, y cuentas con api.pages.write pueden sobrescribir traducciones o crear páginas que las reglas de página deniegan.
Alerta de Nureq Monitor
Detectada 19 OCT · 19:16
CVSS 3.1
9.8CRÍTICACVSS 4.0
9.3 CRÍTICA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,3 % PERCENTIL 24
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-112779
El plugin API de Grav (grav-plugin-api) 1.0.40 antes de 1.0.42 almacena en caché un diccionario de traducción completo por cada código de idioma bien formado enviado al endpoint no autenticado GET /api/v1/translations/{lang}, y 1.0.16 antes de 1.0.42 no verifica las reglas de página de origen y destino en los endpoints sync y batch copy. Atacantes no autenticados pueden agotar disco o APCu, y cuentas con api.pages.write pueden sobrescribir traducciones o crear páginas que las reglas de página deniegan.
Productos y versiones afectadas
getgrav grav-plugin-api
Qué hacer
- Verificá si usás grav-plugin-api y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 9.8 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
CVSS 4.0 · 9.3 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Alta
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Alta
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Alta
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
Grav API plugin (grav-plugin-api) 1.0.40 before 1.0.42 caches a full translation dictionary for every well-formed language code sent to the unauthenticated GET /api/v1/translations/{lang} endpoint, and 1.0.16 before 1.0.42 fails to check target and destination page rules in the sync and batch copy endpoints. Unauthenticated attackers can send small requests that each store about 560 KB to exhaust disk or APCu, while accounts with api.pages.write can overwrite translations or create pages that page-level rules deny.
Referencias
- github.com/getgrav/grav/security/advisories/GHSA-8pcm-97fc-4xwhVENDOR-ADVISORY
- www.vulncheck.com/advisories/grav-api-plugin-before-1.0.42-cache-exhaustion-and-page-perm…THIRD-PARTY-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.