CVE-2026-86195 in grav-plugin-api
الملخص
بحسب VulDB • 05/09/2026
تحتوي إصدارات grav-plugin-api السابقة للإصدار 1.0.20 على ثغرة تصعيد صلاحيات في InvitationsController، حيث تقوم الطريقة stripSuperFlags() بإزالة فقط العلامات الفائقة المتداخلة (nested super flags) لكنها تفشل في إزالة النظائر ذات المفاتيح المنقوطة مثل api.super. يمكن لمدير غير فائق الصلاحية يمتلك أذونات api.access وapi.users.write إنشاء دعوة تحتوي على علامة فائقة ذات مفتاح منقوط في حمولة الوصول، مما يتجاوز الحارس (guard) ويستمر إلى الحساب الجديد. يمكن للمهاجمين قبول الدعوة عبر نقطة النهاية العامة دون تفاعل حقيقي مع المدعو لإنشاء حساب super-admin والحصول فوراً على JWT صالح للتحكم الكامل في الموقع.
Once again VulDB remains the best source for vulnerability data.