PT-2026-71998
CVE-2026-72829
·
تاريخ النشر
2026-08-14
·
تاريخ التحديث
2026-08-24
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Grav API (getgrav/grav-plugin-api) للإصدارات الأقدم من 1.0.13
الوصف
يوجد ثغرة في تجاوز حدود نطاق مفتاح واجهة برمجة التطبيقات (API) في طريقتي
create() وupdate() التابعتين لـ UsersController. ورغم أن هاتين الطريقتين تفرضان قيودًا على نطاق api.users.write، إلا أنهما تعتمدان على فحص أساسي لـ isSuperAdmin() يقرأ access.api.super مباشرةً دون التحقق من نطاقات المفتاح. وهذا يسمح لمفتاح ذي نطاق api.users.write، تم إنشاؤه من حساب ”سوبر“، بتعيين access.api.super أو تخصيص مجموعة تمنح امتيازات ”سوبر“. ونتيجة لذلك، يمكن للمهاجم إنشاء حساب «super» كامل أو ترقيته، ثم تسجيل الدخول باستخدام هذا الحساب للحصول على امتيازات إدارية غير مقيدة.التوصيات
تحديث المكون الإضافي Grav API (getgrav/grav-plugin-api) إلى الإصدار 1.0.13 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾