CVE-2026-63408 in Grav API Plugin
요약
\~에 의해 VulDB • 2026. 08. 21.
Grav API Plugin은 Grav CMS를 위한 RESTful API로, 사이트 콘텐츠에 대한 완전한 헤드리스 접근을 제공합니다. 버전 1.0.0-rc.16 이전에서는 Grav API 플러그인의 JwtAuthenticator::extractBearerToken()가 /api/v1 라우트(상태 변경 엔드포인트 포함)에서 토큰 URL 쿼리 매개변수를 통해 JWT를 허용합니다. 이로 인해 요청 URL이 Apache, 프록시 및 CDN 로그, 브라우저 기록, Referer 헤더를 통해 유효한 액세스 토큰을 노출하게 되며, 이러한 기록에 접근할 수 있는 당사자가 소유자의 API 권한으로 토큰을 재사용할 수 있습니다. 이 문제는 버전 1.0.0-rc.16에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.