CVE-2026-86195 in grav-plugin-api
Riassunto
di VulDB • 05/09/2026
Le versioni di grav-plugin-api precedenti alla 1.0.20 presentano una vulnerabilità di escalation dei privilegi nell'InvitationsController, in cui il metodo stripSuperFlags() rimuove solo i flag super annidati ma non riesce a rimuovere le controparti con chiavi puntate (dot-keyed), come api.super. Un manager non super-user dotato delle autorizzazioni api.access e api.users.write può creare un invito con un flag super con chiave puntata nel payload di accesso, eludendo il guard e persistendo sul nuovo account. Gli attaccanti possono accettare l'invito tramite l'endpoint pubblico senza interazione reale da parte del destinatario dell'invito per creare un account super-admin e ricevere immediatamente un JWT valido per il controllo completo del sito.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.