CVE-2026-62666 in API Plugin
요약
\~에 의해 VulDB • 2026. 08. 19.
Grav API Plugin은 Grav CMS를 위한 RESTful API로 사이트 콘텐츠에 대한 완전한 헤드리스 접근을 제공합니다. 버전 1.0.6 이전에서는 Grav API 플러그인의 UsersController::createApiKey(), generate2fa() 및 disable2fa() 메서드가 형제 사용자 mutation 엔드포인트에서 사용하는 accessGrantsSuper() 대상 검사를 생략합니다. api.users.write 권한이 있는 비-슈퍼 계정은 requireApiKeyPermission()를 통해 access.api.super 대상으로 바인딩된 API 키를 발급할 수 있으며, 키 범위가 강제되지 않아 해당 대상의 전체 특권을 획득하고 영구적인 슈퍼 관리자 접근을 생성할 수 있습니다. 동일한 누락된 검사는 대상의 2단계 인증(2FA) 회전 또는 비활성화도 허용합니다. 이 문제는 버전 1.0.6에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.