CVE-2026-65007 in Api Plugin
要約
〜によって VulDB • 2026年07月21日
Gravのapiプラグイン（grav-plugin-api）1.0.8以前のバージョンでは、APIキーの生成および失効に対する認可処理が適切に行われていません。このプラグインは、アカウント管理のACL（アクセス制御リスト）が実行される前にapiKeyGenerate/apiKeyRevokeという管理者タスクをインターセプトし、呼び出し元にadmin.login権限のみを付与して認可します（これはすべてのパネルユーザーが持つ基本権限です）。これにより、admin.login権限を持つ任意のユーザーは、あらゆるアカウントに紐づく永続的なAPIキーを作成することが可能となり、偽造されたキーはその対象アカウントのAPI権限を引き継ぎます。より広範な権限を保持するAPI有効化済みアカウントが存在する環境では、この脆弱性によりアカウントになりすましや特権昇格が実現し、最終的にはアカウント乗っ取りに至る可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.