CVE-2026-63407 in API Plugin
Riassunto
di VulDB • 19/08/2026
Il plugin Grav API è un'API RESTful per Grav CMS che fornisce accesso headless completo ai contenuti del sito. Prima della versione 1.0.0-rc.16, il CorsMiddleware del plugin Grav API restituisce Access-Control-Allow-Origin: * e risposte OPTIONS permissive per gli endpoint /api/v1 autenticati. JavaScript da qualsiasi origine può inviare un JWT ottenuto dall'attaccante tramite l'intestazione Authorization o X-API-Token, leggere la risposta autenticata ed eseguire operazioni di scrittura con i privilegi del proprietario del token, consentendo l'esfiltrazione dei dati e la modifica dell'account. Questo problema è stato risolto nella versione 1.0.0-rc.16.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.