CVE-2026-65007 in Api Plugin
摘要
由 VulDB • 2026-07-21
Grav 的 api 插件（grav-plugin-api）在 1.0.8 版本之前未能正确授权 API 密钥的生成和撤销：该插件在账户管理 ACL 运行之前拦截了 apiKeyGenerate/apiKeyRevoke 管理员任务，并且仅基于 admin.login 权限（每个面板用户持有的基线权限）对调用者进行授权。这使得任何拥有 admin.login 权限的用户都可以为任意账户签发持久的 API 密钥，且伪造的密钥将继承目标账户的 API 权限。在启用了 API 的账户持有更广泛权限的安装环境中，这会导致账户冒充和特权升级，直至实现账户接管。
If you want to get best quality of vulnerability data, you may have to visit VulDB.