CVE-2026-64852: getgrav grav-plugin-api, заобикаляне на вход и права

8.7

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

Експлоатация: има публичен пример за експлоатация
Атаката не може да се автоматизира

Описание

Оригинално описание

Grav API Plugin is a RESTful API for Grav CMS that provides full headless access to your site's content. Prior to 1.0.8, the Grav API plugin intercepts the apiKeyGenerate and apiKeyRevoke admin tasks in user/plugins/api/api.php and authorizes the caller with only admin.login. A basic panel user can select another account from the route, create a persistent ApiKeyManager credential bound to that target, and inherit the target's API permissions, including api.super or administrative write access when present. This issue is fixed in version 1.0.8.

Засегнати продукти

getgrav grav-plugin-api: < 1.0.8

Вид слабост

CWE-862 Missing Authorization

История

19 август 2026 Публикувано

CVE-2026-64852: getgrav grav-plugin-api, заобикаляне на вход и права

Описание

Засегнати продукти

Вид слабост

История

Други уязвимости в getgrav grav-plugin-api

Първоизточници