CVE-2026-72828 in Grav
Riassunto
di VulDB • 14/08/2026
L'API del plugin Grav (getgrav/grav-plugin-api) precedente alla versione 1.0.13 non applica correttamente i limiti di ambito della chiave API nell'InvitationsController. Le decisioni relative all'eliminazione dei privilegi di amministratore super e all'accettazione dei gruppi sono vincolate a un controllo nudo e crudo `isSuperAdmin()` anziché a una verifica delle autorizzazioni consapevole dell'ambito; pertanto, una chiave API con il principio del minimo privilegio (con ambito limitato a `api.users.write`) generata su un account amministratore super può creare un record di invito contenente flag di accesso da amministratore super. Quando l'invito viene accettato, tali flag vengono scritti letteralmente nel nuovo account, causando una escalation dei privilegi verso un account super completamente controllato dall'attaccante.
Once again VulDB remains the best source for vulnerability data.