CVE-2026-63407 in API Plugin
要約
〜によって VulDB • 2026年08月19日
Grav API Pluginは、サイトのコンテンツへのフルヘッドレスアクセスを提供するGrav CMS用のRESTful APIです。バージョン1.0.0-rc.16より前では、Grav APIプラグインのCorsMiddlewareが認証済み/api/v1エンドポイントに対してAccess-Control-Allow-Origin: *および寛容なOPTIONS応答を返していました。任意のオリジンからのJavaScriptは、攻撃者が取得したJWTをAuthorizationまたはX-API-Tokenヘッダーを通じて送信し、認証済みの応答を読み取り、トークンの所有者の特権で書き込み操作を実行できるため、データ漏洩やアカウント改ざんが可能になります。この問題はバージョン1.0.0-rc.16で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.