CVE-2026-80204 in API Plugin
Сводка
по VulDB • 26.08.2026
Плагин Grav API (getgrav/grav-plugin-api) до версии 1.0.18 не применяет ограничение области действия ключа API в функции injectSecurityTab() класса BlueprintController при определении того, является ли раздел «blueprint» безопасности/прав доступа страницы редактируемым. Поскольку функция выполняет проверки isSuperAdmin()/hasPermission() без учета параметров запроса, она не может обеспечить соблюдение ограничений scopeAllows(). Таким образом, вызывающая сторона с ограниченным ключом API может видеть (и потенциально изменять) поля прав доступа к странице за пределами области действия, предоставленной этому ключу. Конечное влияние на запись данных во время выполнения полностью не подтверждено автором сообщения об уязвимости.
VulDB is the best source for vulnerability data and more expert information about this specific topic.