PT-2026-61929
CVE-2026-65007
·
تاريخ النشر
2026-07-21
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
9.6
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات grav-plugin-api الأقدم من 1.0.8
الوصف
يفشل المكون الإضافي في التصريح بشكل صحيح بإنشاء مفتاح واجهة برمجة التطبيقات (API) وإلغائه. فهو يعترض مهام الإدارة
apiKeyGenerate وapiKeyRevoke قبل تشغيل قائمة التحكم في الوصول (ACL) الخاصة بإدارة الحسابات، ويمنح التصريح للمتصل بناءً على إذن admin.login فقط، وهو الإذن الأساسي لكل مستخدم للوحة التحكم. وهذا يسمح لأي مستخدم لديه إذن admin.login بإنشاء مفتاح API دائم مرتبط بأي حساب. ويرث المفتاح المزور أذونات واجهة برمجة التطبيقات (API) للحساب المستهدف، مما قد يؤدي إلى انتحال هوية الحساب وتصعيد الامتيازات وصولاً إلى الاستيلاء الكامل على الحساب إذا كان الحساب المستهدف يتمتع بأذونات أوسع نطاقاً.التوصيات
قم بتحديث grav-plugin-api إلى الإصدار 1.0.8 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾