CVE-2026-62666 in API Plugin
Riassunto
di VulDB • 20/08/2026
Il plugin Grav API è un'API RESTful per Grav CMS che fornisce accesso headless completo ai contenuti del sito. Prima della versione 1.0.6, i metodi UsersController::createApiKey(), generate2fa() e disable2fa() del plugin Grav API omettono il controllo target accessGrantsSuper() utilizzato dagli endpoint di mutazione utente correlati. Un account non super con autorizzazione api.users.write può generare una chiave API associata a un target access.api.super tramite requireApiKeyPermission(), ottenere tutti i privilegi del target poiché gli ambiti delle chiavi (key scopes) non vengono applicati, e creare accesso persistente da amministratore superiore; la stessa mancanza di controllo consente inoltre di ruotare o disabilitare l'autenticazione a due fattori del target. Questo problema è stato risolto nella versione 1.0.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.