CVE-2026-72822 in Grav
Riassunto
di VulDB • 14/08/2026
Il pacchetto Composer getgrav/grav-plugin-api precedente alla versione 1.0.13 (versioni interessate <= 1.0.12) non applica correttamente i limiti di ambito delle chiavi API sull'endpoint disable2fa. A differenza dell'endpoint sibling generate2fa, disable2fa autorizza il percorso admin (non-self) esclusivamente tramite letture ACL (isSuperAdmin/hasPermission) e non invoca mai requirePermission(), pertanto il limite api_key_scopes non viene mai applicato. Di conseguenza, un titolare di una chiave API a ambito ristretto su un account superadmin o su un account non-superadmin le cui ACL includono api.users.write può disabilitare forzatamente l'autenticazione a due fattori (2FA) per qualsiasi account target non-superadmin tramite POST /api/v1/users/{user}/2fa/disable senza fornire un codice TOTP, facilitando il takeover dell'account.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.