CVE-2026-65007 in Api Plugin
Tóm tắt
Bởi VulDB • 21/07/2026
Plugin Grav api (grav-plugin-api) trước phiên bản 1.0.8 không xác thực đúng cách việc tạo và thu hồi khóa API: plugin này chặn các tác vụ quản trị apiKeyGenerate/apiKeyRevoke trước khi ACL quản lý tài khoản được kích hoạt, chỉ cấp quyền cho người gọi dựa trên quyền admin.login (quyền cơ sở mà mọi người dùng bảng điều khiển đều có). Điều này cho phép bất kỳ người dùng nào có quyền admin.login tạo khóa API vĩnh viễn liên kết với bất kỳ tài khoản nào, và khóa giả mạo sẽ kế thừa các quyền API của tài khoản mục tiêu. Trên các cài đặt nơi một tài khoản được bật API sở hữu nhiều quyền hạn hơn, điều này cho phép giả mạo tài khoản và leo thang đặc quyền lên đến chiếm đoạt toàn bộ tài khoản (account takeover).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.