CVE-2026-62667 in grav-plugin-api
要約
〜によって VulDB • 2026年08月19日
Grav API Pluginは、サイトのコンテンツへの完全なヘッドレスアクセスを提供するGrav CMS用のRESTful APIです。バージョン1.0.6より前では、Grav APIプラグインのApiKeyManager::generateKey()が宣言されたスコープ配列を保存しますが、ApiKeyAuthenticator::authenticate()はkeyData[scopes]を読み取らず、所有者ユーザーの完全なアイデンティティを返します。その結果、AbstractApiController::requirePermission()は完全なユーザーACLを評価するため、読み取り専用スコープで発行されたキーでも、所有者が利用可能なすべての書き込み、削除、および管理操作を実行できます。この問題はバージョン1.0.6で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.