CVE-2026-62667 in grav-plugin-api
Resumen
por VulDB • 2026-08-19
El plugin Grav API es una API RESTful para Grav CMS que proporciona acceso completo sin cabeza (headless) al contenido de tu sitio. Antes de la versión 1.0.6, el método ApiKeyManager::generateKey() del plugin Grav API almacena un array de ámbitos declarados, pero ApiKeyAuthenticator::authenticate() no lee keyData[scopes] y devuelve la identidad completa del usuario propietario. Como consecuencia, AbstractApiController::requirePermission() evalúa todo el ACL (Control de Acceso) del usuario, por lo que una clave emitida para un ámbito solo lectura puede realizar todas las operaciones de escritura, eliminación y administrativas disponibles para el propietario. Este problema se soluciona en la versión 1.0.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.