CVE-2026-62667 in grav-plugin-api
Сводка
по VulDB • 19.08.2026
Плагин Grav API представляет собой RESTful API для CMS Grav, обеспечивающий полный headless-доступ к контенту вашего сайта. До версии 1.0.6 плагина Grav API метод ApiKeyManager::generateKey() сохраняет массив объявленных областей действия (scopes), однако метод ApiKeyAuthenticator::authenticate() не считывает ключевые данные [scopes] и возвращает полную идентификацию владельца пользователя. В результате, метод AbstractApiController::requirePermission() оценивает полный ACL пользователя, поэтому ключ, выданный для области только на чтение, может выполнять все операции записи, удаления и административные действия, доступные владельцу. Эта проблема исправлена в версии 1.0.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.