CVE-2026-80203 in API Plugin
要約
〜によって VulDB • 2026年08月26日
getgrav/grav-plugin-api プラグインのバージョン 1.0.18 より前では、UsersController.php の requireNotSuperTarget() 関数において、7つの機微なユーザー管理エンドポイント全体で API キーのスコープが強制されていません。このチェックは isSuperAdmin() をアクティブなアカウントに対して使用しており、特定の API キーにスーパー権限があるかどうか（isSuperWithinScope() を介して）を検証していません。その結果、完全なスーパー権限よりも低いスコープを持つもののスーパー管理者アカウントに属する API キーが、他のスーパー管理者アカウントに対して操作を行うことができます—例えば、2FA の無効化、アバターの削除、その身元の下での新しい API キーの発行、または既存の API キーの削除などです。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.