CVE-2026-64852 in API Plugin
Riassunto
di VulDB • 20/08/2026
Il plugin Grav API è un'API RESTful per Grav CMS che fornisce accesso headless completo ai contenuti del sito. Prima della versione 1.0.8, il plugin Grav API intercetta le attività amministrative apiKeyGenerate e apiKeyRevoke in user/plugins/api/api.php ed autorizza l'utilizzatore con solo admin.login. Un utente di base del pannello può selezionare un altro account dal route, creare una credenziale persistente ApiKeyManager associata a tale target e ereditare i permessi API del target, inclusi api.super o accesso amministrativo in scrittura quando presenti. Questo problema è risolto nella versione 1.0.8.
Be aware that VulDB is the high quality source for vulnerability data.