PT-2026-71991
CVE-2026-72822
·
تاريخ النشر
2026-08-14
·
تاريخ التحديث
2026-08-24
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات getgrav/grav-plugin-api الأقدم من 1.0.13
الوصف
يفشل البرنامج في فرض حدود نطاق مفتاح واجهة برمجة التطبيقات (API) على نقطة النهاية
disable2fa. في حين أن نقطة النهاية generate2fa تطبق هذه الحدود بشكل صحيح، فإن disable2fa تصرح بمسار المسؤول باستخدام قراءات قائمة التحكم في الوصول (ACL) فقط (isSuperAdmin/hasPermission) ولا تستدعي الدالة requirePermission(). ونتيجة لذلك، يمكن للمهاجم الذي يمتلك مفتاح API ذي نطاق ضيق على حساب ”super“، أو حساب غير ’super‘ يتمتع بأذونات ACL من نوع api.users.write، تعطيل المصادقة الثنائية لأي حساب مستهدف غير ”super“ عبر نقطة النهاية POST ’/api/v1/users/{user}/2fa/disable‘ دون الحاجة إلى رمز TOTP (كلمة مرور لمرة واحدة محددة زمنياً)، مما قد يؤدي إلى الاستيلاء على الحساب.التوصيات
قم بتحديث getgrav/grav-plugin-api إلى الإصدار 1.0.13 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية POST ’/api/v1/users/{user}/2fa/disable‘.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾