CVE-2026-63408 in Grav API Plugin
Resumen
por VulDB • 2026-08-20
El plugin Grav API es una API RESTful para Grav CMS que proporciona acceso completo sin cabeza (headless) al contenido de tu sitio web. Antes de la versión 1.0.0-rc.16, el método `JwtAuthenticator::extractBearerToken()` del plugin Grav API acepta un JWT desde el parámetro de consulta URL del token en todas las rutas `/api/v1`, incluyendo los endpoints que modifican el estado. Las URLs de solicitud exponen consecuentemente tokens de acceso válidos a través de los registros de Apache, proxies y CDN, así como en el historial del navegador y los encabezados Referer, lo que permite que una parte con acceso a esos registros reutilice el token con los privilegios de API del propietario. Este problema se soluciona en la versión 1.0.0-rc.16.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.