CVE-2026-62666

Nome do Software Vulnerável e Versões Afetadas Grav API Plugin versões anteriores a 1.0.6

Description As funções createApiKey(), generate2fa() e disable2fa() do UsersController não realizam a verificação de alvo accessGrantsSuper(). Uma conta com permissões api.users.write pode usar requireApiKeyPermission() para criar uma chave de API vinculada a um alvo access.api.super. Como os escopos de chave não são aplicados, o invasor pode obter privilégios totais de super-administrador e estabelecer acesso persistente. Além disso, essa falha permite a rotação ou desativação da autenticação de dois fatores da conta alvo.

Recommendations Atualize o Grav API Plugin para a versão 1.0.6.