CVE-2026-62667
WysokieCVSS 8.1Streszczenie
Wtyczka Grav API przed wersją 1.0.6 zawiera podatność, w której ApiKeyManager::generateKey() przechowuje zadeklarowaną tablicę zakresów, ale ApiKeyAuthenticator::authenticate() nie odczytuje keyData[scopes] i zwraca pełną tożsamość właściciela klucza. W rezultacie AbstractApiController::requirePermission() ocenia pełne ACL użytkownika, więc klucz wydany dla zakresu tylko do odczytu może wykonywać wszystkie operacje zapisu, usuwania i administracyjne dostępne właścicielowi. Problem naprawiono w wersji 1.0.6.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień, gdzie klucz API o ograniczonych uprawnieniach może uzyskać pełny dostęp do zasobów, co może prowadzić do nieautoryzowanych zmian i naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki Grav API do wersji 1.0.6 lub nowszej, aby zapewnić egzekwowanie zakresów kluczy API.
Oryginalny opis (angielski, źródło NVD)
Grav API Plugin is a RESTful API for Grav CMS that provides full headless access to your site's content. Prior to 1.0.6, the Grav API plugin ApiKeyManager::generateKey() stores a declared scopes array, but ApiKeyAuthenticator::authenticate() does not read keyData[scopes] and returns the owning user's complete identity. AbstractApiController::requirePermission() consequently evaluates the full user ACL, so a key issued for a read-only scope can perform every write, delete, and administrative operation available to the owner. This issue is fixed in version 1.0.6.