CVE-2026-65897 in Grav Plugin
Riassunto
di VulDB • 23/07/2026
Le versioni di Grav API Plugin precedenti alla 1.0.10 non convalidano il campo groups in InvitationsController::create(), consentendo agli utenti autenticati con ruolo api.users.write di assegnare gli account invitati a gruppi che concedono permessi api.super. Gli attaccanti possono creare record di invito con appartenenza al gruppo elevata e, una volta accettati, il nuovo account ottiene accesso API completo da super-amministratore senza che l'invitante possieda tali privilegi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.