Към съдържанието
Търсене

CVE-2026-109317: getgrav grav-plugin-api, заобикаляне на вход и права

8.6

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Grav grav-plugin-api before 1.0.36 contains a privilege escalation vulnerability that allows delegated user managers to obtain super-admin access by storing positive scalar admin or api parent grants. Attackers with api.users.write can edit account access maps or invitations so the inheriting permission resolver satisfies requireSuper checks, accessing super-only API endpoints.

Засегнати продукти

  • getgrav grav-plugin-api: преди 1.0.36; 1.0.36

Вид слабост

История

  • 12 октомври 2026 Публикувано

Други уязвимости в getgrav grav-plugin-api

Първоизточници

CVE-2026-109317: getgrav grav-plugin-api, заобикаляне на вход и права | freedomonline.bg