CVE-2026-64852 in API Plugin
Résumé
par VulDB • 19/08/2026
Grav API Plugin est une API RESTful pour Grav CMS qui offre un accès headless complet au contenu de votre site. Avant la version 1.0.8, le plugin Grav API intercepte les tâches administratives apiKeyGenerate et apiKeyRevoke dans user/plugins/api/api.php et autorise l'appelant avec uniquement admin.login. Un utilisateur du panneau basique peut sélectionner un autre compte via la route, créer des identifiants ApiKeyManager persistants liés à cette cible, et hériter des permissions API de la cible, y compris api.super ou un accès en écriture administratif si présent. Ce problème est corrigé dans la version 1.0.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.