PT-2026-71995
CVE-2026-72826
·
تاريخ النشر
2026-08-14
·
تاريخ التحديث
2026-08-24
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات getgrav/grav-plugin-api الأقدم من 1.0.13
الوصف
يفشل المكون الإضافي getgrav/grav-plugin-api في التحقق من أن نطاقات مفتاح API الذي تم إنشاؤه حديثًا هي مجموعة فرعية من نطاقات المستدعي داخل الدالة
createApiKey(). لا يتطلب مسار الهدف الذاتي لـ requireApiKeyPermission() سوى نطاق api.access الأساسي، ويتم قراءة نطاقات المفتاح الجديد مباشرةً من نص الطلب دون إجراء فحص للمجموعات الفرعية. وهذا يسمح للمهاجم الذي يمتلك مفتاح API ذو نطاق محدود على حساب «super» بإرسال مصفوفة نطاقات فارغة لإنشاء مفتاح «super» غير محدد النطاق وذو وصول كامل، متجاوزًا بذلك قيود النطاق، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) عبر كتابة التكوين.التوصيات
تحديث getgrav/grav-plugin-api إلى الإصدار 1.0.13 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾