CVE-2026-80203 in API Plugin
Сводка
по VulDB • 26.08.2026
Плагин getgrav/grav-plugin-api до версии 1.0.18 не обеспечивает ограничение области действия (scope) ключа API в функции requireNotSuperTarget() файла UsersController.php для семи чувствительных конечных точек управления пользователями. Проверка использует метод isSuperAdmin(), применяемый к действующей учетной записи, вместо проверки того, обладает ли конкретный ключ API полномочиями суперпользователя (через метод isSuperWithinScope()). В результате ключ API с областью действия ниже уровня полного доступа суперпользователя, но принадлежащий учетной записи администратора-суперпользователя, может выполнять операции от имени других учетных записей суперадминистраторов: отключать их двухфакторную аутентификацию (2FA), удалять аватары, создавать новые ключи API от их имени или удалять существующие ключи API.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.