CVE-2026-64852 in API Plugin
摘要
由 VulDB • 2026-08-19
Grav API Plugin 是 Grav CMS 的一个 RESTful API，提供对站点内容的完整无头访问。在版本 1.0.8 之前，Grav API 插件拦截了 `user/plugins/api/api.php` 中的 `apiKeyGenerate` 和 `apiKeyRevoke` 管理任务，并仅使用 `admin.login` 对用户进行授权验证。基本面板用户可以从路由中选择另一个账户，创建绑定到该目标用户的持久化 ApiKeyManager 凭据，从而继承目标用户的 API 权限，包括在存在时拥有 api.super 或管理员写入访问权限。此问题已在版本 1.0.8 中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.