CVE-2026-80203
KrytyczneCVSS 9.8Streszczenie
Wtyczka getgrav/grav-plugin-api przed wersją 1.0.18 nie egzekwuje zakresu klucza API w funkcji requireNotSuperTarget() w UsersController.php w siedmiu wrażliwych punktach końcowych zarządzania użytkownikami. Sprawdzenie używa isSuperAdmin() na koncie działającym, zamiast weryfikować, czy konkretny klucz API ma uprawnienia super (przez isSuperWithinScope()). W rezultacie klucz API o zakresie poniżej pełnych uprawnień super, ale należący do konta super-administratora, może działać przeciwko innym kontom super-administratorów — wyłączać ich 2FA, usuwać ich awatary, tworzyć nowe klucze API pod ich tożsamością lub usuwać ich istniejące klucze API.
Ocena ryzyka
Osoba posiadająca klucz API o ograniczonym zakresie, ale należący do konta super-admina, może przejąć kontrolę nad innymi kontami super-adminów, co prowadzi do naruszenia bezpieczeństwa i integralności systemu.
Rekomendacja
Zaktualizuj wtyczkę getgrav/grav-plugin-api do wersji 1.0.18 lub nowszej, która zawiera poprawkę. Przeglądaj i ograniczaj zakresy kluczy API.
Oryginalny opis (angielski, źródło NVD)
The getgrav/grav-plugin-api plugin before 1.0.18 does not enforce API-key scope in the requireNotSuperTarget() function in UsersController.php across seven sensitive user-management endpoints. The check uses isSuperAdmin() on the acting account rather than verifying whether the specific API key carries super authority (via isSuperWithinScope()). As a result, an API key scoped below full super authority but belonging to a super-admin account can act against other super-admin accounts—disabling their 2FA, deleting their avatar, minting new API keys under their identity, or deleting their existing API keys.