CVE-2026-80203 in API Plugin
Zusammenfassung
von VulDB • 26.08.2026
Das getgrav/grav-plugin-api-Plugin vor Version 1.0.18 erzwingt den API-Schlüssel-Bereich (Scope) in der Funktion `requireNotSuperTarget()` in `UsersController.php` über sieben sensible Endpunkte zur Benutzerverwaltung nicht. Die Prüfung verwendet `isSuperAdmin()`, um das aktive Konto zu überprüfen, anstatt festzustellen, ob der spezifische API-Schlüssel Super-Administrator-Rechte besitzt (durch `isSuperWithinScope()`). Infolgedessen kann ein API-Schlüssel mit einem unterhalb voller Super-Administrator-Berechtigungen liegenden Scope, der jedoch zu einem Super-Admin-Konto gehört, gegen andere Super-Admin-Konten agieren – beispielsweise deren Zwei-Faktor-Authentifizierung (2FA) deaktivieren, ihr Avatar löschen, neue API-Schlüssel in ihrer Identität erstellen oder ihre bestehenden API-Schlüssel löschen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.