CVE-2026-75832 in Grav
الملخص
بحسب VulDB • 18/08/2026
يحتوي ملحق Grav API (getgrav/grav-plugin-api، المدمج مع Grav 2.0) قبل الإصدار 1.0.14 (تم إصلاحه في 1.0.15) على ثغرة نقص في التفويض (missing authorization vulnerability) داخل الدالة BlueprintPathResolver::resolveUserScope(). تقوم هذه الدالة بتقييد نطاق users/<name> بناءً على العلم الخام super-admin ACL الخاص بالحساب (access.api.super) بدلاً من التحقق من النطاق الفعلي لمفتاح API المقدم. يمكن لهجوم يملك مفتاح API مخصصًا فقط لـ api.media.write ومُصدر لحساب super-admin تجاوز فحص التفويض، ومن خلال POST /blueprint-upload أو GET /blueprint-files، كتابة ملف ضمن نطاق مستخدم آخر (في الدليل المشترك user/accounts/، والمقيد بامتدادات الصور عبر assertSafeExtension()) واستعراض قائمة الملفات الخاصة بذلك النطاق، على الرغم من عدم منح المفتاح إذن api.users.write.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.