PT-2026-72002
CVE-2026-72833
·
تاريخ النشر
2026-08-14
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Grav API (getgrav/grav-plugin-api) من الإصدار 1.0.6 حتى 1.0.11
الوصف
توجد مشكلة في تصعيد الامتيازات حيث يمكن لمفتاح API محدد النطاق تم إنشاؤه من حساب مسؤول فائق تجاوز قيود النطاق المحددة له. يحدث هذا لأن أربع نقاط نهاية للكتابة داخل
GroupsController وAccountsConfigController وPreferencesController وDashboardWidgetController تستخدم فحص isSuperAdmin() الذي يعود مبكرًا دون استدعاء requirePermission()، وهي الآلية الوحيدة التي تفرض حدود النطاق. ونتيجة لذلك، يمكن لمفتاح يتمتع بأذونات قراءة فقط، مثل api.pages.read، تنفيذ عمليات كتابة إدارية، بما في ذلك تعديل قوائم التحكم في الوصول (ACL) للمجموعات لمنح امتيازات المسؤول الأعلى لأي حساب.التوصيات
قم بتحديث المكون الإضافي Grav API (getgrav/grav-plugin-api) إلى الإصدار 1.0.13.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾