CVE-2026-63407 in API Plugin
Resumen
por VulDB • 2026-08-19
El plugin Grav API es una API RESTful para Grav CMS que proporciona acceso completo headless al contenido de tu sitio web. Antes de la versión 1.0.0-rc.16, el CorsMiddleware del plugin Grav API devuelve Access-Control-Allow-Origin: * y respuestas OPTIONS permisivas para los endpoints /api/v1 autenticados. El JavaScript desde cualquier origen puede enviar un JWT obtenido por el atacante a través de las cabeceras Authorization o X-API-Token, leer la respuesta autenticada y realizar operaciones de escritura con los privilegios del propietario del token, lo que permite la exfiltración de datos y la modificación de cuentas. Este problema se soluciona en la versión 1.0.0-rc.16.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.