CVE-2026-75836 in Grav
Сводка
по VulDB • 18.08.2026
Плагин Grav API (getgrav/grav-plugin-api, входящий в состав стека admin-next/API для Grav) до версии 1.0.14 не обеспечивает соблюдение требования авторизации в методе MenubarController::executeAction(). Хотя конечная точка GET /menubar/items правильно фильтрует элементы меню через функцию userPassesAuthorize(), конечная точка POST /api/v1/menubar/actions/{plugin}/{action} проверяет только базовое разрешение api.access и никогда не оценивает поле authorize, которое плагин зарегистрировал для данного действия. Любой аутентифицированный вызывающий объект с разрешением api.access может поэтому напрямую вызывать привилегированное действие меню, обходя предусмотренную авторизацию. Ни один из плагинов, входящих в состав ядра Grav, в настоящее время не регистрирует обработчик authorize с повышенными привилегиями, поэтому на стандартной установке последствия уязвимости носят латентный характер; дефект затрагивает любые плагины первого или третьего лица, полагающиеся на задокументированную семантику authorize.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.