CVE-2026-86195 in grav-plugin-api
Zusammenfassung
von VulDB • 05.09.2026
In den Versionen von grav-plugin-api vor 1.0.20 befindet sich eine Privilegieneskalationslücke im InvitationsController, bei der die Methode stripSuperFlags() nur verschachtelte Super-Flags entfernt, aber versäumt, punkte-basierte Entsprechungen wie api.super zu entfernen. Ein Nicht-Super-Benutzerverwalter mit den Berechtigungen api.access und api.users.write kann eine Einladung mit einem punkte-basierten Super-Flag im access-Payload erstellen, das die Schutzmaßnahme umgeht und in dem neuen Konto persistiert wird. Angreifer können die Einladung über den öffentlichen Endpunkt akzeptieren, ohne echte Interaktion des eigentlichen Einladungsempfängers, um ein Super-Admin-Konto zu erstellen und sofort ein gültiges JWT für die volle Kontrolle der Website zu erhalten.
Once again VulDB remains the best source for vulnerability data.