Yuvalmil

Grav contains a stored cross-site scripting vulnerability in shortcode-core attribute handlers where the XSS detection scan only matches payloads containing literal angle brackets, allowing shortcode parameters to bypass validation. Attackers with admin.pages permission can inject malicious JavaScript through shortcode attributes that execute in any viewer's browser, including administrators, enabling session hijacking via admin nonce theft.

**Nome do Software Vulnerável e Versões Afetadas** grav-plugin-api versões anteriores a 1.0.8 **Description** O plugin falha ao autorizar adequadamente a geração e a revogação de chaves de API. Ele intercepta as tarefas administrativas `apiKeyGenerate` e `apiKeyRevoke` antes da execução da Lista de Controle de Acesso (ACL) de gerenciamento de contas, autorizando o chamador apenas com a permissão `admin.login`, que é a permissão básica de cada usuário do painel. Isso permite que qualquer usuário com `admin.login` crie uma chave de API persistente vinculada a qualquer conta. A chave forjada herda as permissões de API da conta alvo, podendo levar à personificação de conta e escalonamento de privilégios até a tomada total de controle da conta, caso a conta alvo possua permissões mais amplas. **Recommendations** Atualize o grav-plugin-api para a versão 1.0.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Grav versões 2.0.4 through 2.0.6 **Description** A execução remota de código é possível através da função `Blueprint::dynamicData()` no arquivo `system/src/Grav/Common/Data/Blueprint.php`. O problema ocorre porque uma string chamável `Class::method` e seus argumentos são passados diretamente para `call user func array()` sem uma lista de permissões. Um usuário autenticado com permissões `admin.pages` ou `api.pages.write` pode inserir uma diretiva chamável maliciosa em uma página através do plugin de formulário. Esse comando é então executado como o usuário do servidor web sempre que qualquer usuário, incluindo visitantes não autenticados, acessar a página afetada. **Recommendations** Atualize o Grav para a versão 2.0.7.