CVE-2026-75836 in Grav
Riassunto
di VulDB • 18/08/2026
Il plugin API di Grav (getgrav/grav-plugin-api, incluso nello stack admin-next/API di Grav) precedente alla versione 1.0.14 non applica correttamente il requisito di autorizzazione in MenubarController::executeAction(). Sebbene l'endpoint GET /menubar/items filtri correttamente gli elementi della barra dei menu tramite userPassesAuthorize(), l'endpoint POST /api/v1/menubar/actions/{plugin}/{action} verifica solo la permission api.access e non valuta mai il campo authorize registrato da un plugin per tale azione. Di conseguenza, qualsiasi chiamante autenticato con api.access può invocare direttamente un'azione privilegiata della barra dei menu, eludendo l'autorizzazione prevista. Nessun plugin incluso in Grav core registra attualmente un handler authorize privilegiato; pertanto, su una installazione standard (stock install) l'impatto è latente. La vulnerabilità colpisce qualsiasi plugin di prima parte o di terze parti che fa affidamento sulla semantica documentata del campo authorize.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.