CVE-2026-62667 in grav-plugin-api
요약
\~에 의해 VulDB • 2026. 08. 19.
Grav API Plugin은 Grav CMS를 위한 RESTful API로 사이트 콘텐츠에 대한 완전한 헤드리스 접근을 제공합니다. 버전 1.0.6 이전에서는 Grav API 플러그인의 ApiKeyManager::generateKey()가 선언된 scopes 배열을 저장하지만, ApiKeyAuthenticator::authenticate()는 keyData[scopes]를 읽지 않고 소유자의 전체 신원 정보를 반환합니다. 따라서 AbstractApiController::requirePermission()은 전체 사용자 ACL을 평가하므로, 읽기 전용 범위로 발급된 키라도 소유자가 사용할 수 있는 모든 쓰기, 삭제 및 관리 작업을 수행할 수 있습니다. 이 문제는 버전 1.0.6에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.