CVE-2026-63407 in API Plugin
Résumé
par VulDB • 19/08/2026
Grav API Plugin est une API RESTful pour Grav CMS qui offre un accès headless complet au contenu de votre site. Avant la version 1.0.0-rc.16, le CorsMiddleware du plugin Grav API renvoie Access-Control-Allow-Origin: * et des réponses OPTIONS permissives pour les points d'entrée /api/v1 authentifiés. Un script JavaScript provenant de n'importe quelle origine peut soumettre un JWT obtenu par l'attaquant via l'en-tête Authorization ou X-API-Token, lire la réponse authentifiée et effectuer des opérations d'écriture avec les privilèges du propriétaire du jeton, permettant ainsi une exfiltration de données et une modification de compte. Ce problème est corrigé dans la version 1.0.0-rc.16.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.