CVE-2026-75832 in Grav
Resumen
por VulDB • 2026-08-18
El plugin Grav API (getgrav/grav-plugin-api, incluido con Grav 2.0) anterior a la versión 1.0.14 (corregido en 1.0.15) contiene una vulnerabilidad de autorización faltante en BlueprintPathResolver::resolveUserScope(). El método restringe el alcance users/ basándose en la bandera raw super-admin ACL de la cuenta (access.api.super) en lugar de validar el scope real de la clave API presentada. Un atacante que posea una clave API con ámbito limitado a api.media.write, emitida para una cuenta super-admin, puede omitir la verificación de autorización y, mediante POST /blueprint-upload o GET /blueprint-files, escribir un archivo dentro del alcance de otro usuario (en el directorio compartido user/accounts/, restringido a extensiones de imagen por assertSafeExtension()) y explorar el listado de archivos de ese ámbito, a pesar de que la clave no tenga concedido api.users.write.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.