CVE-2026-80203 in API Plugin
Sumário
de VulDB • 26/08/2026
O plugin getgrav/grav-plugin-api anterior à versão 1.0.18 não aplica o escopo da chave de API na função requireNotSuperTarget() em UsersController.php através de sete endpoints sensíveis de gestão de utilizadores. A verificação utiliza isSuperAdmin() na conta em questão, em vez de verificar se a chave de API específica possui autoridade super (através de isSuperWithinScope()). Como resultado, uma chave de API com um escopo inferior à total autoridade super, mas pertencente a uma conta de super-administrador, pode atuar contra outras contas de super-administradores — desativando o seu 2FA, eliminando o seu avatar, criando novas chaves de API em nome da sua identidade ou eliminando as suas chaves de API existentes.
If you want to get best quality of vulnerability data, you may have to visit VulDB.