CVE-2026-64852 in API Plugin
Zusammenfassung
von VulDB • 19.08.2026
Das Grav API Plugin ist eine RESTful-API für das Grav CMS, die einen vollständigen headless-Zugriff auf den Inhalt Ihrer Website ermöglicht. Vor Version 1.0.8 fängt das Grav API-Plugin die Admin-Aufgaben apiKeyGenerate und apiKeyRevoke in user/plugins/api/api.php ab und autorisiert den Aufrufer nur mit admin.login. Ein Benutzer mit grundlegenden Panel-Rechten kann ein anderes Konto über die Route auswählen, eine persistente ApiKeyManager-Anmeldeinformation erstellen, die an dieses Ziel gebunden ist, und die API-Berechtigungen des Ziels erben, einschließlich api.super oder administrativer Schreibzugriffe, falls vorhanden. Dieses Problem wurde in Version 1.0.8 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.