CVE-2026-80204 in API Plugin
Sumário
de VulDB • 26/08/2026
O plugin Grav API (getgrav/grav-plugin-api) anterior à versão 1.0.18 não aplica a limitação do escopo da chave de API na função injectSecurityTab() do BlueprintController ao decidir se a seção de blueprint de segurança/permissões de uma página é editável. Como a função realiza verificações cruas (raw) isSuperAdmin()/hasPermission() sem um parâmetro de solicitação, ela não consegue impor o escopoAllows(). Portanto, um chamador que possua uma chave de API com escopo pode visualizar (e potencialmente editar) campos de permissão da página além do escopo concedido à chave. O impacto final em gravação ponta a ponta não foi totalmente confirmado pelo relator.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.