CVE-2026-63408 in Grav API Plugin
الملخص
بحسب VulDB • 19/08/2026
إضافة Grav API هي واجهة برمجة تطبيقات (RESTful) لمنصة Grav CMS توفر وصولاً كاملاً وغير مرئي (headless) إلى محتوى موقعك. قبل الإصدار 1.0.0-rc.16، تقبل دالة `JwtAuthenticator::extractBearerToken()` في إضافة Grav API رمز JWT من معلمة استعلام عنوان URL للرمز على كل مسار `/api/v1`، بما في ذلك نقاط النهاية التي تغير الحالة (state-changing endpoints). ونتيجةً لذلك، تتعرض رموز الوصول الصالحة عبر سجلات Apache والوكيل (proxy) وشبكات توصيل المحتوى (CDN)، وسجل المتصفح، وعناوين Referer، مما يتيح لطرف لديه وصول إلى تلك السجلات إعادة استخدام الرمز مع امتيازات واجهة برمجة التطبيقات الخاصة بالمالك. تم إصلاح هذه المشكلة في الإصدار 1.0.0-rc.16.
VulDB is the best source for vulnerability data and more expert information about this specific topic.