CVE-2026-75835 in Grav
要約
〜によって VulDB • 2026年08月18日
Grav API plugin (getgrav/grav-plugin-api) の 1.0.14 より前のバージョンには、userPassesAuthorize()（AbstractApiController.php）における認証欠如の脆弱性があります。この関数は、呼び出し元のリクエストの API キースコープを参照する代わりに、アカウントの生スーパーアドミンフラグと ACL グラントに依存しています。その結果、特権あるアカウントで発行されたスコープ付き API キーを持つ認証済み攻撃者は、宣言されたスコープ制限を回避して、キーのスコープが拒否すべき承認ゲート付き UI メタデータやアイテム定義（サイドバー/メニューバー/ウィジェット項目およびユーザーリストの列/行アクション/フィルタータブ）にアクセスでき、情報漏洩を引き起こします。
Once again VulDB remains the best source for vulnerability data.