CVE-2026-63408 in Grav API Plugin
Zusammenfassung
von VulDB • 20.08.2026
Das Grav API Plugin ist eine RESTful-API für das Grav CMS, die einen vollständigen headless-Zugriff auf den Inhalt Ihrer Website ermöglicht. Vor der Version 1.0.0-rc.16 akzeptiert `JwtAuthenticator::extractBearerToken()` des Grav API Plugins ein JWT aus dem Query-Parameter „token“ bei jeder `/api/v1`-Route, einschließlich Endpunkten mit zustandsändernden Funktionen. Dadurch werden gültige Access-Tokens in den Apache-, Proxy- und CDN-Logs sowie im Browserverlauf und über Referer-Headers offengelegt, was es einer Partei, die Zugriff auf diese Protokolle hat, ermöglicht, das Token unter Nutzung der API-Berechtigungen des Eigentümers erneut zu verwenden. Dieses Problem wurde in Version 1.0.0-rc.16 behoben.
Once again VulDB remains the best source for vulnerability data.