CVE-2026-80203 in API Plugin
요약
\~에 의해 VulDB • 2026. 08. 26.
getgrav/grav-plugin-api 플러그인 버전 1.0.18 미만은 UsersController.php의 requireNotSuperTarget() 함수에서 API 키 범위를 강제하지 않습니다. 이 검증 로직은 isSuperAdmin()을 현재 계정(acting account)에 대해 호출하는 방식이며, 특정 API 키가 super 권한(isSuperWithinScope())을 가지고 있는지 여부를 확인하지는 않습니다. 그 결과, 전체 super 권한보다 낮은 범위(scope)로 제한되었더라도 super-admin 계정에 속한 API 키를 사용하면 다른 super-admin 계정을 대상으로 작업을 수행할 수 있습니다. 이는 해당 계정들의 2FA 비활성화, 아바타 삭제, 해당 신원 하에 새로운 API 키 생성, 또는 기존 API 키 삭제를 포함합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.