CVE-2026-63407 in API Plugin
Сводка
по VulDB • 21.08.2026
Плагин Grav API представляет собой RESTful API для системы управления контентом (CMS) Grav, обеспечивающий полный headless доступ к содержимому вашего сайта. До версии 1.0.0-rc.16 плагин Grav API в компоненте CorsMiddleware возвращал заголовок Access-Control-Allow-Origin: * и разрешительные ответы OPTIONS для аутентифицированных конечных точек /api/v1. JavaScript с любого источника может отправить полученный злоумышленником JWT (JSON Web Token) через заголовки Authorization или X-API-Token, прочитать ответ в контексте аутентификации и выполнить операции записи с привилегиями владельца токена, что позволяет осуществлять эксфильтрацию данных и модифицировать учетные записи. Эта проблема исправлена в версии 1.0.0-rc.16.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.