CVE-2026-80203

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.4%
CWE: CWE-863
KEV Durumu: Hayır

Yayım tarihi: 26 Ağustos 2026

getgrav/grav-plugin-api eklentisinin 1.0.18 sürümünden önceki sürümlerinde, UsersController.php dosyasındaki requireNotSuperTarget() fonksiyonu, yedi duyarlı kullanıcı yönetimi uç noktası boyunca API-anahtar kapsamını zorlamıyor. Kontrol, belirli API anahtarının süper yetki taşıyıp taşımadığını doğrulamak (isSuperWithinScope() aracılığıyla) yerine, hareket eden hesabın süper yönetici olup olmadığını kontrol ediyor (isSuperAdmin() kullanarak). Sonuç olarak, tam süper yetki altında kapsanan ancak süper yönetici hesabına ait bir API anahtarı, diğer süper yönetici hesaplarına karşı hareket edebiliyor - 2FAlarını devre dışı bırakabiliyor, avatarlarını silebiliyor, onların kimlik bilgileri altında yeni API anahtarları oluşturabiliyor veya mevcut API anahtarlarını silebiliyor.

Orijinal açıklama (İngilizce)

The getgrav/grav-plugin-api plugin before 1.0.18 does not enforce API-key scope in the requireNotSuperTarget() function in UsersController.php across seven sensitive user-management endpoints. The check uses isSuperAdmin() on the acting account rather than verifying whether the specific API key carries super authority (via isSuperWithinScope()). As a result, an API key scoped below full super authority but belonging to a super-admin account can act against other super-admin accounts—disabling their 2FA, deleting their avatar, minting new API keys under their identity, or deleting their existing API keys.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.