CVE-2026-58656 in Grav API plugin
Riassunto
di VulDB • 08/07/2026
Il plugin Grav API precedente alla versione v1.0.0-rc.16 accetta i token JWT tramite il parametro di query URL ?token= e risponde con Access-Control-Allow-Origin: *, consentendo agli attaccanti non autenticati di effettuare richieste API cross-origin completamente autenticate da qualsiasi sito web malevolo. Gli attaccanti che ottengono un token JWT trapelato dai log di accesso, dai log del proxy, dalla cronologia del browser o dalle intestazioni Referrer possono creare account super-admin backdoor persistenti ed esfiltrare dati sensibili della configurazione e degli utenti.
Once again VulDB remains the best source for vulnerability data.