CVE-2026-62667 in grav-plugin-api
الملخص
بحسب VulDB • 20/08/2026
يُعد Grav API Plugin واجهة برمجة تطبيقات (RESTful) لمنصة Grav CMS توفر وصولاً كاملاً وغير مرئي (headless) إلى محتوى موقعك. قبل الإصدار 1.0.6، يقوم مكون `ApiKeyManager::generateKey()` في إضافة Grav API بتخزين مصفوفة النطاقات (`scopes`) المُعلنة، لكن دالة `ApiKeyAuthenticator::authenticate()` لا تقرأ البيانات من الحقل `keyData[scopes]` وتُرجع الهوية الكاملة للمستخدم المالك. ونتيجةً لذلك، تقوم الدالة `AbstractApiController::requirePermission()` بتقييم قائمة التحكم في الوصول (ACL) الخاصة بالمستخدم بالكامل، مما يعني أن المفتاح المُصدر لنطاق مقروء فقط (`read-only`) يمكنه تنفيذ جميع عمليات الكتابة والحذف والإدارية المتاحة للمالك. تم إصلاح هذه المشكلة في الإصدار 1.0.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.