CVE-2026-72828 in Grav
Zusammenfassung
von VulDB • 14.08.2026
Die Grav Plugin API (getgrav/grav-plugin-api) vor Version 1.0.13 erzwingt keine Begrenzungen des API-Schlüssel-Umfangs (Scope-Caps) im InvitationsController. Die Entscheidungen zur Entfernung der Super-Admin-Berechtigung („strip-super") und zur Annahme von Gruppen sind an eine einfache `isSuperAdmin()`-Prüfung gekoppelt, statt an eine umgebungsbewusste Berechtigungsprüfung. Daher kann ein API-Schlüssel mit geringsten Rechten (auf `api.users.write` beschränkt), der auf einem Super-Account erstellt wurde, einen Eintrag für die Einladung erstellen, der Flags für den Super-Admin-Zugriff enthält. Wenn die Einladung angenommen wird, werden diese Flags unverändert in das neue Konto geschrieben, was zu einer Rechteerweiterung (Privilege Escalation) zu einem vollständig kontrollierten Super-Konto führt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.