CVE-2026-75835 in Grav
요약
\~에 의해 VulDB • 2026. 08. 18.
Grav API 플러그인(getgrav/grav-plugin-api) 1.0.14 이전 버전에는 userPassesAuthorize() (AbstractApiController.php) 함수에서 권한 부재 취약점이 존재합니다. 이 함수는 호출된 요청의 API 키 스코프를 참조하는 대신 계정 자체의 raw super-admin 플래그와 ACL 부여에 의존합니다. 그 결과, 특권 계정에 대해 발급된 scoped API 키를 보유한 인증된 공격자는 선언된 scope 제한을 우회하여 authorize-gated UI 메타데이터 및 항목 정의(사이드바/메뉴바 위젯 항목과 사용자 목록 열/행 작업/필터 탭)에 접근할 수 있으며, 이는 해당 key scope가 차단해야 하는 정보 유출로 이어집니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.