CVE-2026-65007

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.6
EPSS: 0.4%
CWE: CWE-862
KEV Durumu: Hayır

Yayım tarihi: 21 Temmuz 2026

Grav api eklentisi (grav-plugin-api) 1.0.8'den önceki sürümlerde, API anahtarı oluşturma ve iptalini düzgün şekilde yetkilendirmez: eklenti, hesap yönetim ACL'si çalışmadan önce apiKeyGenerate/apiKeyRevoke yönetim görevlerini engeller ve çağrıcıyı yalnızca admin.login izni temelinde yetkilendirir (her panel kullanıcısının sahip olduğu temel izin). Bu, admin.login iznine sahip herhangi bir kullanıcının, herhangi bir hesaba bağlı kalıcı bir API anahtarı oluşturmasına olanak tanır ve sahte anahtar, hedef hesabın API izinlerini devralır. API etkin bir hesabın daha geniş izinlere sahip olduğu kurulumlarda, bu hesap taklit edilmesine ve izin yükseltmesine kadar hesap ele geçirilmesine olanak tanır.

Orijinal açıklama (İngilizce)

The Grav api plugin (grav-plugin-api) before 1.0.8 fails to properly authorize API key generation and revocation: the plugin intercepts the apiKeyGenerate/apiKeyRevoke admin tasks before the account-management ACL runs and authorizes the caller on only the admin.login permission (the baseline permission held by every panel user). This allows any user with admin.login to mint a persistent API key bound to any account, and the forged key inherits the target account's API permissions. On installs where an API-enabled account holds broader permissions, this enables account impersonation and privilege escalation up to account takeover.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.