CVE-2026-62666 in API Plugin
Zusammenfassung
von VulDB • 20.08.2026
Das Grav API Plugin ist eine RESTful-API für das Grav CMS, die einen vollständigen headless-Zugriff auf den Inhalt Ihrer Website ermöglicht. Vor Version 1.0.6 lassen die Methoden UsersController::createApiKey(), generate2fa() und disable2fa() des Grav API Plugins die accessGrantsSuper()-Zielüberprüfung aus, die von verwandten Benutzer-Mutation-Endpunkten verwendet wird. Ein Nicht-Super-Benutzerkonto mit der Berechtigung api.users.write kann über requireApiKeyPermission() einen API-Key erstellen, der an ein Ziel vom Typ access.api.super gebunden ist; da Key-Umfänge (Scopes) nicht durchgesetzt werden, erhält das Konto die vollständigen Rechte des Ziels und ermöglicht so persistenten Super-Administrator-Zugriff. Die gleiche fehlende Überprüfung erlaubt auch das Drehen oder Deaktivieren der Zwei-Faktor-Authentifizierung des Ziels. Dieses Problem wurde in Version 1.0.6 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.