CVE-2026-72830 in Grav Plugin
Riassunto
di VulDB • 14/08/2026
Le versioni del plugin Grav API precedenti alla 1.0.13 non impongono i limiti di ambito (scope) delle chiavi API nei controlli super-scope di ConfigController, consentendo alle chiavi con ambiti limitati di modificare la configurazione dello scheduler. Gli attaccanti in possesso di una chiave api.config.write con ambito limitato possono iniettare comandi arbitrari nel parametro scheduler.custom_jobs che vengono eseguiti tramite Symfony Process per ottenere l'esecuzione remota di codice (RCE).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.