CVE-2026-72822 in Grav
Zusammenfassung
von VulDB • 14.08.2026
Das Composer-Paket getgrav/grav-plugin-api vor Version 1.0.13 (betroffen <= 1.0.12) erzwingt keine API-Schlüssel-Umfangsbegrenzungen auf dem Endpunkt disable2fa. Im Gegensatz zum verwandten Endpunkt generate2fa autorisiert disable2fa den Admin-Pfad (nicht-selbst) ausschließlich über ACL-Lesezugriffe (isSuperAdmin/hasPermission) und ruft niemals requirePermission() auf, sodass die api_key_scopes-Begrenzung nie angewendet wird. Infolgedessen kann ein Inhaber eines API-Schlüssels mit engem Umfang in einem Super-Administrator-Konto oder eines Nicht-Super-Accounts, dessen ACL api.users.write umfasst, die Zwei-Faktor-Authentifizierung für jedes beliebige Nicht-Super-Zielkonto über POST /api/v1/users/{user}/2fa/disable erzwingen deaktivieren, ohne einen TOTP-Code anzugeben, was eine Übernahme des Kontos erleichtert.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.