PT-2026-76932
CVE-2026-75832
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات المكون الإضافي Grav API الأقدم من 1.0.15
الوصف
يوجد ثغرة لتجاوز عملية المصادقة في الدالة
BlueprintPathResolver::resolveUserScope(). يقوم النظام بالتحقق من علامة قائمة التحكم في الوصول (ACL) الخاصة بالمسؤول الفائق للحساب access.api.super بدلاً من التحقق من النطاق الفعلي لمفتاح واجهة برمجة التطبيقات (API) المقدم. يمكن للمهاجم الذي يمتلك مفتاح واجهة برمجة التطبيقات (API) الذي يقتصر نطاقه على api.media.write فقط، والذي تم إنشاؤه من حساب مسؤول فائق، تجاوز عملية المصادقة. وهذا يسمح للمهاجم باستخدام نقاط النهاية ’POST /blueprint-upload‘ أو ’GET /blueprint-files‘ لكتابة ملفات ضمن نطاق مستخدم آخر داخل الدليل المشترك user/accounts/ (يقتصر ذلك على امتدادات الصور بواسطة assertSafeExtension()) وتصفح قائمة ملفات ذلك النطاق، حتى بدون الإذن api.users.write.التوصيات
تحديث المكون الإضافي Grav API إلى الإصدار 1.0.15.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾