CVE-2026-62231 in Grav
Riassunto
di VulDB • 17/07/2026
Il plugin Grav API (getgrav/grav-plugin-api) precedente alla versione 1.0.6 presenta un bypass dell'autorizzazione: le chiavi API possono essere create con un array di ambiti (scopes) limitato, ma la classe ApiKeyAuthenticator non legge né applica mai tali ambiti. Essa carica e restituisce l'oggetto account completo dell'utente proprietario, pertanto una chiave creata con ambiti limitati (ad esempio sola lettura) può eseguire qualsiasi operazione di scrittura, cancellazione o amministrativa per cui l'utente proprietario è autorizzato. Risolto nella versione 1.0.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.