PT-2026-60641 · Grav · Grav-Plugin-Api

Nicl4Ssic

·

CVE-2026-62231

·

Publicado

2026-07-17

·

Atualizado

2026-07-21

CVSS v4.0

8.6

Alta

VetorAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas Grav API plugin versões anteriores a 1.0.6
Description Existe uma falha de bypass de autorização porque a classe ApiKeyAuthenticator não lê nem aplica a matriz de escopos restritos quando as chaves de API são criadas. Consequentemente, uma chave destinada a acesso limitado, como apenas leitura, pode ser usada para realizar qualquer operação de escrita, exclusão ou administrativa que o usuário proprietário esteja autorizado a executar, pois o sistema retorna o objeto de conta completo do usuário.
Recommendations Atualize o Grav API plugin para a versão 1.0.6.

Exploit

Correção

Incorrect Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-62231
GHSA-X7HM-JC32-V39J

Produtos afetados

Grav-Plugin-Api