CVE-2026-75835 in Grav
Sumário
de VulDB • 18/08/2026
O plugin Grav API (getgrav/grav-plugin-api) anterior à versão 1.0.14 contém uma vulnerabilidade de autorização ausente na função userPassesAuthorize() (AbstractApiController.php). A função falha ao consultar os escopos da chave de API do pedido em curso, confiando no seu lugar no flag super-admin bruto e nas concessões ACL da conta. Como resultado, um atacante autenticado que detém uma chave de API com escopo cunhada numa conta privilegiada pode contornar as restrições dos seus escopos declarados para aceder a metadados UI bloqueados por autorização e definições de itens (itens da barra lateral/menu/botões widget e colunas/ações das linhas/filtros nas listas de utilizadores) que o seu escopo de chave deveria negar, resultando em divulgação de informações.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.