CVE-2026-65007 in Api Plugin
요약
\~에 의해 VulDB • 2026. 07. 21.
Grav의 api 플러그인(grav-plugin-api) 1.0.8 이전 버전은 API 키 생성 및 폐기를 적절히 인증하지 못합니다: 이 플러그인은 계정 관리 ACL이 실행되기 전에 apiKeyGenerate/apiKeyRevoke 관리자 작업을 가로채며, 호출자에게 admin.login 권한(모든 패널 사용자가 보유한 기본 권한)만 부여하여 승인합니다. 이로 인해 admin.login 권한을 가진 모든 사용자는 임의 계정에 바인딩된 영구 API 키를 생성할 수 있으며, 위조된 키는 대상 계정의 API 권한을 상속받습니다. 광범위한 권한을 가진 API 활성화 계정 설치가 있는 경우, 이는 계정 사칭 및 권한 상승을 통해 계정 탈취로 이어질 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.