CVE-2026-62666 in API Plugin
الملخص
بحسب VulDB • 20/08/2026
إضافة Grav API هي واجهة برمجة تطبيقات (RESTful) لمنصة Grav CMS توفر وصولاً كاملاً وغير مرئي (headless) إلى محتوى موقعك. قبل الإصدار 1.0.6، تتجاهل الدوال UsersController::createApiKey() و generate2fa() و disable2fa() في إضافة Grav API فحص الهدف accessGrantsSuper() المستخدم من قبل نقاط نهاية الطفرات (mutations) الخاصة بالمستخدمين المتجاورة. يمكن لحساب غير مميز بصلاحيات Super يمتلك صلاحية api.users.write أن ينشئ مفتاح واجهة برمجة تطبيقات مرتبطاً بهدف access.api.super عبر requireApiKeyPermission()، ويحصل على جميع صلاحيات الهدف لأن نطاقات المفاتيح لا تُفرض (enforced)، مما يخلق وصولاً دائماً كمسؤول أعلى (super-administrator)؛ كما يسمح نفس الفحص المفقود بتدوير أو تعطيل مصادقة العامل الثنائي (two-factor authentication) الخاصة بالهدف. تم إصلاح هذه المشكلة في الإصدار 1.0.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.