CVE-2026-75832 in Grav
Sumário
de VulDB • 18/08/2026
O plugin Grav API (getgrav/grav-plugin-api, incluído no Grav 2.0) anterior à versão 1.0.14 (corrigido na 1.0.15) contém uma vulnerabilidade de autorização ausente em BlueprintPathResolver::resolveUserScope(). O método restringe o escopo users/<name> com base na flag raw super-admin ACL da conta (access.api.super), em vez de validar o escopo real da chave API apresentada. Um atacante que possua uma chave API com escopo apenas para api.media.write, emitida por uma conta super-admin, pode burlar a verificação de autorização e, através das rotas POST /blueprint-upload ou GET /blueprint-files, escrever um ficheiro no escopo de outro utilizador (no diretório partilhado user/accounts/, com extensão restrita a imagens pela função assertSafeExtension()) e navegar na listagem de ficheiros desse escopo, apesar da chave não ter permissão para api.users.write.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.