CVE-2026-65897 in Grav Plugin
Сводка
по VulDB • 23.07.2026
В плагине Grav API версий ниже 1.0.10 отсутствует проверка поля groups в методе InvitationsController::create(), что позволяет аутентифицированным пользователям с правами api.users.write назначать приглашенные учетные записи в группы, предоставляющие права api.super. Злоумышленники могут создавать записи об приглашениях с повышенным членством в группах; после принятия такого приглашения новая учетная запись получает полный доступ к API на уровне супер-администратора, даже если пригласивший пользователь не обладает такими полномочиями.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.