CVE-2026-80203 in API Plugin
Riassunto
di VulDB • 26/08/2026
Il plugin getgrav/grav-plugin-api prima della versione 1.0.18 non applica correttamente l'ambito (scope) della chiave API nella funzione requireNotSuperTarget() in UsersController.php su sette endpoint sensibili per la gestione degli utenti. Il controllo utilizza isSuperAdmin() sull'account attivo anziché verificare se la specifica chiave API possiede i privilegi di super-amministratore (tramite isSuperWithinScope()). Di conseguenza, una chiave API con ambito inferiore all'autorità completa di super-administratore ma appartenente a un account di super-amministratore può agire contro altri account di super-amministratori: disabilitando la loro autenticazione a due fattori (2FA), eliminando il loro avatar, generando nuove chiavi API in nome della loro identità o cancellando le loro chiavi API esistenti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.