PT-2026-71992
CVE-2026-72823
·
تاريخ النشر
2026-08-14
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات المكون الإضافي Grav API الأقدم من 1.0.13
الوصف
يوجد ثغرة لتجاوز حدود النطاق في
DemoController الخاص بالمكون الإضافي Grav API. تقوم الدالة الخاصة requireSuper() بالتحقق من isSuperAdmin() وتعود مبكرًا، متخطيةً الدالة requirePermission() حيث يتم فرض تقييد api key scopes. ونتيجةً لذلك، يمكن لمفتاح API محدد النطاق تم إنشاؤه من حساب ”super“ تجاوز قيوده عند الوصول إلى عمليات baseline() وreset()، مثل نقطة النهاية ’POST /api/v1/demo/reset‘. وهذا يسمح للمهاجم بالاستيلاء على خط الأساس التجريبي أو فرض إعادة تعيين تجريبية، شريطة أن يكون الوضع التجريبي قد تم تكوينه بموارد قابلة للكتابة.التوصيات
قم بتحديث المكون الإضافي Grav API إلى الإصدار 1.0.13 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾