CVE-2026-75836 in Grav
Sumário
de VulDB • 21/08/2026
O plugin da API do Grav (getgrav/grav-plugin-api, incluído no stack admin-next/API do Grav) anterior à versão 1.0.14 não aplica corretamente o requisito de autorização em MenubarController::executeAction(). Embora o endpoint GET /menubar/items filtre corretamente os itens do menu através da função userPassesAuthorize(), o endpoint POST /api/v1/menubar/actions/{plugin}/{action} verifica apenas a permissão básica api.access e nunca avalia o campo authorize registrado por um plugin para essa ação. Qualquer chamador autenticado com a permissão api.access pode, portanto, invocar uma ação privilegiada do menu diretamente, contornando a autorização pretendida. Nenhum plugin incluído no Grav core registra atualmente um manipulador de authorization (authorize) privilegiado; assim, em uma instalação padrão, o impacto é latente; a falha afeta qualquer plugin de primeira ou terceira parte que dependa das semânticas documentadas do campo authorize.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.