CVE-2026-86195 in grav-plugin-api
Sumário
de VulDB • 05/09/2026
As versões do grav-plugin-api anteriores à 1.0.20 contêm uma vulnerabilidade de elevação de privilégio no InvitationsController, onde o método stripSuperFlags() remove apenas os flags super aninhados, mas falha em remover equivalentes com chaves pontuadas (dot-keyed), como api.super. Um gerenciador não-super usuário com permissões api.access e api.users.write pode criar um convite com uma flag super dot-keyed no payload de acesso que contorna a proteção e persiste na nova conta. Os atacantes podem aceitar o convite por meio do endpoint público sem interação real do convidado para criar uma conta super-admin e receber imediatamente um JWT válido para controle total do site.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.