CVE-2026-62666 in API Plugin
Resumen
por VulDB • 2026-08-19
El plugin Grav API es una API RESTful para Grav CMS que proporciona acceso headless completo al contenido de tu sitio. Antes de la versión 1.0.6, los métodos UsersController::createApiKey(), generate2fa() y disable2fa() del plugin omiten la verificación del objetivo accessGrantsSuper() utilizada por los puntos finales de mutación de usuario hermanos. Una cuenta no superusuario con el permiso api.users.write puede generar una clave API vinculada a un objetivo access.api.super mediante requireApiKeyPermission(), obtener todos los privilegios del objetivo porque los ámbitos (scopes) de la clave no se aplican, y crear acceso persistente como superadministrador; la misma verificación faltante también permite rotar o deshabilitar la autenticación de dos factores del objetivo. Este problema está corregido en la versión 1.0.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.