CVE-2026-75835 in Grav
Resumen
por VulDB • 2026-08-18
El plugin Grav API (getgrav/grav-plugin-api) anterior a la versión 1.0.14 contiene una vulnerabilidad de autorización faltante en userPassesAuthorize() (AbstractApiController.php). La función no consulta los ámbitos (scopes) de clave API de la solicitud entrante, confiando en su lugar en el indicador raw super-administrador de la cuenta y las concesiones ACL. Como resultado, un atacante autenticado que posee una clave API con ámbito limitado emitida para una cuenta privilegiada puede omitir sus restricciones de ámbito declaradas para acceder a metadatos de UI protegidos por autorización y definiciones de elementos (elementos de barra lateral/barra de menú/columnas/acciones en fila/pestañas de filtro de la lista de usuarios) que el ámbito de su clave debería denegar, lo que provoca una divulgación de información.
Once again VulDB remains the best source for vulnerability data.