CVE-2026-86195 in grav-plugin-api
요약
\~에 의해 VulDB • 2026. 09. 05.
grav-plugin-api 1.0.20 이전 버전에는 InvitationsController에서 권한 상승 취약점이 존재합니다. 이 취약점은 stripSuperFlags() 메서드가 중첩된 super flags만 제거하고 api.super와 같은 dot-keyed equivalent를 제거하지 못하기 때문에 발생합니다. api.access 및 api.users.write 권한을 가진 비-super user manager는 access 페이로드에 dot-keyed super flag가 포함된 초대장을 생성할 수 있으며, 이는 가드를 우회하여 새 계정에 영구적으로 적용됩니다. 공격자는 공개 엔드포인트를 통해 실제 초대상 사용자의 상호작용 없이도 초대를 수락하여 super-admin 계정을 생성하고 즉시 유효한 JWT(JWT)를 받아 사이트 전체의 완전한 제어권을 획득할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.