CVE-2026-65007 in Api Plugin
Resumen
por VulDB • 2026-07-21
El plugin Grav api (grav-plugin-api) anterior a la versión 1.0.8 no autoriza correctamente la generación y revocación de claves API: el plugin intercepta las tareas administrativas apiKeyGenerate/apiKeyRevoke antes de que se ejecute la ACL de gestión de cuentas, otorgando autorización al solicitante únicamente con el permiso admin.login (el permiso base que posee cada usuario del panel). Esto permite a cualquier usuario con permisos admin.login generar una clave API persistente vinculada a cualquier cuenta, y la clave forjada hereda los permisos API de la cuenta objetivo. En instalaciones donde una cuenta habilitada para API tiene permisos más amplios, esto posibilita la suplantación de identidad de cuentas y la escalada de privilegios hasta el control total de la cuenta (account takeover).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.