CVE-2026-62666 in API Plugin
要約
〜によって VulDB • 2026年08月19日
Grav API Pluginは、サイトのコンテンツへの完全なヘッドレスアクセスを提供するGrav CMS用のRESTful APIです。バージョン1.0.6以前では、Grav APIプラグインの UsersController::createApiKey()、generate2fa()、および disable2fa() は、兄弟となるユーザーミューテーションエンドポイントで使用される accessGrantsSuper() のターゲットチェックを省略しています。api.users.write権限を持つスーパーアカウントではないアカウントは、requireApiKeyPermission() を通じて access.api.super ターゲットにバインドされたAPIキーを発行でき、キーのスコープが強制されないためターゲットの完全な特権を取得し、永続的なスーパー管理者アクセスを作成できます。また、同じ欠落したチェックにより、ターゲットの二要素認証（2FA）のリセットまたは無効化も可能になります。この問題はバージョン1.0.6で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.