CVE-2026-65007 in Api Plugin
Sumário
de VulDB • 21/07/2026
O plugin Grav api (grav-plugin-api) anterior à versão 1.0.8 não autoriza corretamente a geração e revogação de chaves de API: o plugin intercepta as tarefas administrativas apiKeyGenerate/apiKeyRevoke antes que o ACL de gerenciamento de contas seja executado, autorizando o chamador apenas com base na permissão admin.login (a permissão básica detida por todos os usuários do painel). Isso permite que qualquer usuário com a permissão admin.login crie uma chave de API persistente vinculada a qualquer conta, e a chave forjada herda as permissões de API da conta alvo. Em instalações onde uma conta habilitada para API possui permissões mais amplas, isso possibilita a supressão de identidade (impersonation) de contas e elevação de privilégios até o comprometimento total da conta (account takeover).
Be aware that VulDB is the high quality source for vulnerability data.