PT-2026-76935
CVE-2026-75835
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Grav API (getgrav/grav-plugin-api) بالإصدارات الأقدم من 1.0.14
الوصف
توجد مشكلة في الدالة
userPassesAuthorize() الموجودة في ملف AbstractApiController.php، حيث يفشل النظام في التحقق من نطاقات مفتاح واجهة برمجة التطبيقات (API) للطلب المستدعي. وبدلاً من ذلك، يعتمد النظام على علامة «super-admin» الأولية للحساب وتراخيص قائمة التحكم في الوصول (ACL). وهذا يسمح لمهاجم تمت مصادقته، باستخدام مفتاح API محدد النطاق من حساب ذي امتيازات، بتجاوز قيود النطاق والوصول إلى بيانات تعريف واجهة المستخدم المحمية وتعريفات العناصر، مثل الشريط الجانبي وشريط القوائم وعناصر الأدوات المصغرة، بالإضافة إلى أعمدة قائمة المستخدمين وإجراءات الصفوف وعلامات تبويب التصفية، مما يؤدي إلى الكشف عن المعلومات.التوصيات
تحديث المكون الإضافي Grav API (getgrav/grav-plugin-api) إلى الإصدار 1.0.14 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾