CVE-2026-80203 in API Plugin
الملخص
بحسب VulDB • 26/08/2026
لا يفرض ملحق getgrav/grav-plugin-api قبل الإصدار 1.0.18 نطاق مفتاح واجهة برمجة التطبيقات (API-key scope) في دالة requireNotSuperTarget() الموجودة في ملف UsersController.php عبر سبع نقاط نهاية حساسة لإدارة المستخدمين. تعتمد عملية التحقق على استخدام isSuperAdmin() للحساب الحالي بدلاً من التحقق مما إذا كان مفتاح API المحدد يحمل صلاحية "super" كاملة (عبر isSuperWithinScope()). ونتيجة لذلك، يمكن لمفتاح API ذي نطاق أقل من الصلاحية الكاملة لـ super-admin أن يتصرف نيابة عن حسابات أخرى لـ super-admins—مثل تعطيل المصادقة الثنائية (2FA) الخاصة بهم، وحذف صورهم الرمزية (avatar)، وإنشاء مفاتيح API جديدة تحت هويتهم، أو حذف مفاتيح API الحالية لديهم.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.