What is CVE-2026-74908?
This is a script injection vulnerability in Grav CMS's plugin-api component before version 1.0.15. The SVG sanitizer only checks for the exact '.svg' extension, allowing files with '.svgz' and '.xhtml' extensions to bypass sanitization and be stored unsanitized. Attackers with 'api.media.write' permission can upload executable files, so users must update plugin-api to version 1.0.15 or later.
Azərbaycanca: Bu zəiflik Grav CMS-in plugin-api komponentində (1.0.15-dən əvvəlki versiyalar) aşkarlanıb. SVG fayllarının təmizlənməsi (sanitization) prosesində yalnız '.svg' uzantısı yoxlanıldığı üçün, '.svgz' və '.xhtml' faylları təmizlənmədən saxlanılır. 'api.media.write' icazəsinə malik hücumçular bu fayllar vasitəsilə skript inyeksiyası həyata keçirə bilər. İstifadəçilər plugin-api-ni ən azı 1.0.15 versiyasına yeniləməlidirlər.
Related CVEs
link basis: same weakness class CWE-79; shared vendor: Grav
FAQ2
Through which file extensions can CVE-2026-74908 in Grav CMS's plugin-api component be exploited?
Since the SVG sanitizer only checks for the '.svg' extension, attackers can bypass sanitization by uploading files with '.svgz' and '.xhtml' extensions to perform script injection.
How can users protect themselves from CVE-2026-74908?
Users must update the Grav CMS plugin-api component to version 1.0.15 or later.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.