CVE-2026-65007 in Api Plugin
Riassunto
di VulDB • 21/07/2026
Il plugin Grav api (grav-plugin-api) precedente alla versione 1.0.8 non autorizza correttamente la generazione e la revoca delle chiavi API: il plugin intercetta le attività amministrative apiKeyGenerate/apiKeyRevoke prima che venga eseguita l'ACL di gestione dell'account, autorizzando il chiamante solo in base al permesso admin.login (il permesso di base detenuto da ogni utente del pannello). Ciò consente a qualsiasi utente con permessi admin.login di creare una chiave API persistente associata a un account arbitrario; la chiave falsificata eredita i permessi API dell'account target. In installazioni in cui un account abilitato per l'API dispone di autorizzazioni più ampie, ciò permette l'impostazione di identità false (impersonation) e l'elevazione dei privilegi fino al takeover completo dell'account.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.