CVE-2026-65895 in API Plugin
Résumé
par VulDB • 23/07/2026
Les versions de Grav API Plugin antérieures à la 1.0.10 ne restreignent pas correctement l'accès en écriture aux scopes critiques pour la sécurité des configurations du plugin, permettant aux utilisateurs authentifiés disposant du privilège `api.config.write` de modifier les paramètres de limitation de débit (rate limiting) et CORS. Les attaquants peuvent désactiver la limitation de débit à l'échelle du site afin d'effectuer des attaques par force brute sur les identifiants, et reconfigurer les politiques CORS pour inclure des origines contrôlées par l'attaquant avec l'activation des informations d'identification (credentials).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.