What is CVE-2026-75833?
CVE-2026-75833 is an open redirect vulnerability in the Grav API plugin's SsoController::sanitizeReturnTo() function before version 1.0.14, which blocks a literal '//' prefix but fails to account for browsers normalizing backslashes to slashes. This allows attackers to redirect users to malicious URLs. It is recommended to update the Grav API plugin to version 1.0.14 or later.
Azərbaycanca: CVE-2026-75833, Grav CMS-in API plaginində (versiya 1.0.14-dən əvvəl) SsoController::sanitizeReturnTo() funksiyasında aşkar edilmiş açıq yönləndirmə zəifliyidir. Təhlükəsizlik yoxlaması '//' prefiksini bloklasa da, brauzerlərin backslash simvolunu slash-a çevirməsi nəzərə alınmadığı üçün istifadəçilər zərərli URL-lərə yönləndirilə bilər. Grav API plaginini 1.0.14 və ya daha yuxarı versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: shared vendor: getgrav
FAQ2
How does the CVE-2026-75833 vulnerability occur in Grav CMS?
The vulnerability occurs because the SsoController::sanitizeReturnTo() function blocks a literal '//' prefix but does not account for browsers normalizing backslashes to slashes, allowing an attacker to bypass the check using a backslash.
What is the recommended action to mitigate CVE-2026-75833?
Update the Grav API plugin to version 1.0.14 or later.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.