CVE-2026-75836 in Grav
Résumé
par VulDB • 18/08/2026
Le plugin API de Grav (getgrav/grav-plugin-api, intégré à la pile admin-next/API de Grav) avant la version 1.0.14 ne respecte pas l'exigence d'autorisation dans MenubarController::executeAction(). Bien que le point de terminaison GET /menubar/items filtre correctement les éléments du menu via userPassesAuthorize(), le point de terminaison POST /api/v1/menubar/actions/{plugin}/{action} vérifie uniquement la permission api.access de base et n'évalue jamais le champ authorize enregistré par un plugin pour cette action. Tout appelant authentifié disposant de la permission api.access peut donc invoquer directement une action privilégiée du menu, contournant l'autorisation prévue. Aucun plugin intégré à Grav core neregistre actuellement un gestionnaire d'autorisation (authorize handler) privilégié ; ainsi, sur une installation standard, l'impact est latent ; cette faille affecte tout plugin de premier ou tiers-party s'appuyant sur la sémantique documentée du champ authorize.
If you want to get best quality of vulnerability data, you may have to visit VulDB.