PT-2026-76936
CVE-2026-75836
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات المكون الإضافي Grav API الأقدم من 1.0.14
الوصف
يفشل المكون الإضافي Grav API في فرض متطلبات التفويض داخل الدالة
MenubarController::executeAction(). في حين أن نقطة النهاية ’GET /menubar/items‘ تقوم بتصفية العناصر بشكل صحيح، فإن نقطة النهاية ’POST /api/v1/menubar/actions/{plugin}/{action}‘ تتحقق فقط من الإذن الأساسي api.access وتتجاهل الحقل authorize المسجل بواسطة المكون الإضافي لهذا الإجراء. ونتيجة لذلك، يمكن لأي مستخدم تمت مصادقته ولديه api.access تنفيذ إجراءات مميزة في شريط القوائم، متجاوزًا عملية المصادقة المقصودة. تؤثر هذه المشكلة على المكونات الإضافية الأصلية أو التابعة لجهات خارجية التي تعتمد على دلالات المصادقة الموثقة.التوصيات
قم بالتحديث إلى الإصدار 1.0.14 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾