CVE-2026-109320

ŚrednieCVSS 5.4

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka Grav API (grav-plugin-api) przed 1.0.36 zawiera podatność na nieprawidłową walidację sesji, która pozwala wyłączonym kontom zachować dostęp do API, ponieważ SessionAuthenticator nie egzekwuje stanu konta. Wyłączeni użytkownicy mogą ponownie użyć już autoryzowanej sesji lub sesji remember-me, aby wywoływać endpointy API do wygaśnięcia, niwecząc cofnięcie uprawnień przez operatora.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do API przez wyłączone konta, co może prowadzić do naruszenia danych lub nieautoryzowanych operacji.

Rekomendacja

Zaktualizuj wtyczkę Grav API do wersji 1.0.36 lub nowszej, która zawiera poprawkę egzekwującą stan konta podczas walidacji sesji.

Inne podatności w Grav API

CVE-2026-42844Wysokie
Grav to platforma internetowa oparta na plikach. W wersji 2.0.0-beta.2, użytkownik API z niskimi uprawnieniami może wykorzystać /api/v1/blueprint-upload do zapisania dowolnego pliku YAML w user/accounts/, a następnie zalogować się jako nowo utworzone konto z uprawnieniami api.super, co prowadzi do pełnego przejęcia administracyjnego API Grav.

Oryginalny opis (angielski, źródło NVD)

The Grav API plugin (grav-plugin-api) before 1.0.36 contains an improper session validation vulnerability that allows disabled accounts to keep API access, because SessionAuthenticator does not enforce account state. Disabled users can reuse an already authorized browser or remember-me session to call API endpoints until expiry, defeating operator revocation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS