CVE-2026-72830
KrytyczneCVSS 9.8Streszczenie
Wtyczka Grav API przed wersją 1.0.13 nie egzekwuje ograniczeń zakresu kluczy API w bramkach super-zakresu ConfigController, co pozwala kluczom z ograniczonym zakresem na zapis konfiguracji harmonogramu. Atakujący z kluczem o zakresie api.config.write mogą wstrzykiwać dowolne polecenia do scheduler.custom_jobs, które są wykonywane przez Symfony Process, prowadząc do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący z ograniczonym kluczem API może uzyskać pełną kontrolę nad serwerem, co może prowadzić do naruszenia integralności systemu i danych.
Rekomendacja
Zaktualizuj wtyczkę Grav API do wersji 1.0.13 lub nowszej. Przeglądaj i ograniczaj zakresy kluczy API.
Oryginalny opis (angielski, źródło NVD)
Grav API plugin versions before 1.0.13 fail to enforce API key scope caps in ConfigController super-scope gates, allowing scoped keys to write scheduler configuration. Attackers with a scoped api.config.write key can inject arbitrary commands into scheduler.custom_jobs that execute via Symfony Process for remote code execution.