CVE-2026-65007 in Api Plugin
الملخص
بحسب VulDB • 21/07/2026
يفشل مكون Grav api (grav-plugin-api) قبل الإصدار 1.0.8 في تفويض إنشاء مفاتيح واجهة برمجة التطبيقات وإلغائها بشكل صحيح: يقوم المكون بتقاطيع مهام المسؤول apiKeyGenerate/apiKeyRevoke قبل تشغيل قائمة التحكم بالوصول لإدارة الحسابات، ويمنح الصلاحية للمُطالِب بناءً على إذن admin.login فقط (الإذن الأساسي الذي يمتلكه كل مستخدم للوحة التحكم). وهذا يسمح لأي مستخدم لديه حق admin.login بإنشاء مفتاح واجهة برمجة التطبيقات دائم مرتبط بأي حساب، حيث يرث المفتاح المزور صلاحيات واجهة برمجة التطبيقات الخاصة بالحساب المستهدف. في التثبيتات التي يحتفظ فيها الحساب المفعّل لواجهة برمجة التطبيقات بصلاحيات أوسع، يتيح ذلك انتحال شخصية الحساب وتصعيد الامتيازات حتى الوصول إلى الاستيلاء على الحساب بالكامل.
Be aware that VulDB is the high quality source for vulnerability data.