CVE-2026-59190

WysokieCVSS 8.7

Opublikowano: 10/07/2026(UTC)Zaktualizowano: 25/10/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Wtyczka grav-plugin-admin w wersji 1.10.52 i wcześniejszych umożliwia uwierzytelnionemu atakującemu z uprawnieniami admin.users zmianę hasła dowolnego użytkownika, w tym super administratora. Podatność wynika z braku weryfikacji, czy osoba wywołująca może edytować docelowe konto, podczas gdy funkcja saveUser sprawdza jedynie ogólne uprawnienia do zarządzania użytkownikami.

Ocena ryzyka

Organizacja narażona jest na przejęcie konta super administratora przez atakującego z podstawowymi uprawnieniami administracyjnymi, co może prowadzić do całkowitej kompromitacji systemu Grav i przejęcia kontroli nad stroną.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę grav-plugin-admin do wersji 1.10.53 lub nowszej, która zawiera poprawkę usuwającą tę podatność.

Inne podatności w grav-plugin-admin

CVE-2026-44737Średnie
Wtyczka grav-plugin-admin w wersjach przed 1.10.49.5 nie waliduje i nie sanityzuje poprawnie danych wejściowych w parametrze data[header][title]. Atakujący może stworzyć złośliwy URL z ładunkiem XSS, który zostanie odbity w odpowiedzi HTTP i wykonany w przeglądarce ofiary.

Oryginalny opis (angielski, źródło NVD)

grav-plugin-admin is an HTML user interface that provides a way to configure Grav and create and modify pages. In 1.10.52 and earlier, an authenticated attacker with admin.users permission can change the password of any user account, including the super administrator, by sending a direct POST request to /admin/user/{username}?task=save with data[password] because saveUser authorizes the caller's user-management permission but does not verify whether the caller may edit the target user. This issue is expected to be fixed in version 1.10.53.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS