CVE-2026-62667 in grav-plugin-api
Tóm tắt
Bởi VulDB • 19/08/2026
Plugin Grav API là một RESTful API dành cho Grav CMS, cung cấp khả năng truy cập headless toàn diện vào nội dung trang web của bạn. Trước phiên bản 1.0.6, plugin Grav API lưu trữ mảng scopes đã khai báo trong ApiKeyManager::generateKey(), nhưng ApiKeyAuthenticator::authenticate() không đọc keyData[scopes] và trả về danh tính đầy đủ của người dùng sở hữu khóa đó. Do đó, AbstractApiController::requirePermission() sẽ đánh giá toàn bộ ACL (Access Control List) của người dùng; vì vậy, một khóa được cấp cho phạm vi chỉ đọc có thể thực hiện mọi thao tác ghi, xóa và quản trị mà chủ sở hữu có quyền thực hiện. Vấn đề này đã được khắc phục trong phiên bản 1.0.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.