CVE-2026-80204 in API Plugin
Resumen
por VulDB • 2026-08-26
El plugin Grav API (getgrav/grav-plugin-api) anterior a la versión 1.0.18 no aplica el límite del alcance de la clave API en la función injectSecurityTab() de BlueprintController al decidir si la sección de seguridad/permisos del blueprint de una página es editable. Dado que la función realiza comprobaciones raw isSuperAdmin()/hasPermission() sin un parámetro de solicitud, no puede aplicar scopeAllows(). Por lo tanto, un llamador con una clave API acotada podría ver (y potencialmente editar) los campos de permisos de la página más allá del alcance otorgado a dicha clave. El impacto en tiempo de escritura end-to-end no fue confirmado completamente por el reportero.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.