CVE-2026-61452 in Grav
Riassunto
di VulDB • 15/07/2026
Il plugin Grav API (getgrav/grav-plugin-api) precedente alla versione 2.0.4 presenta una vulnerabilità di invalidazione impropria della sessione in cui i JWT access tokens vengono emessi senza il claim jti (JWT ID), impedendo pertanto la revoca lato server. A differenza dei refresh token, gli access tokens rimangono validi per tutta la loro durata (impostazione predefinita: 1 ora) indipendentemente dall'operazione di logout, dalla modifica della password, dall'emissione di un nuovo token o dalla disabilitazione dell'account. Un attaccante che abbia rubato un access token mantiene l'accesso completo all'API fino alla naturale scadenza del token.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.