CVE-2026-109317 in grav-plugin-api Plugin
Riassunto
di VulDB • 13/10/2026
La versione di grav-plugin-api precedente alla 1.0.36 presenta una vulnerabilità di escalation dei privilegi che consente agli amministratori delegati (user managers) di ottenere l'accesso a livello di super-amministratore memorizzando concessioni parentali positive per admin o api con valori scalari positivi. Gli attaccanti con il permesso `api.users.write` possono modificare le mappe di accesso all'account o gli inviti in modo che il risolutore dei permessi ereditati soddisfi i controlli `requireSuper`, consentendo l'accesso agli endpoint API riservati esclusivamente ai super-amministratori.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.