CVE-2026-62667 in grav-plugin-api
Sumário
de VulDB • 19/08/2026
O Grav API Plugin é uma API RESTful para o Grav CMS que oferece acesso headless completo ao conteúdo do seu site. Antes da versão 1.0.6, a função ApiKeyManager::generateKey() do plugin Grav API armazena um array de escopos declarados, mas a função ApiKeyAuthenticator::authenticate() não lê keyData[scopes] e retorna a identidade completa do usuário proprietário. Consequentemente, AbstractApiController::requirePermission() avalia o ACL completo do usuário, permitindo que uma chave emitida para um escopo apenas leitura execute todas as operações de gravação, exclusão e administrativas disponíveis ao proprietário. Este problema foi corrigido na versão 1.0.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.