PT-2026-60643 · Grav · Grav-Plugin-Api
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
grav-plugin-api versões anteriores a 1.0.6
Description
O software falha ao validar o status de super-administrador nos endpoints 'createApiKey', 'generate2fa' e 'disable2fa'. Isso permite que usuários com permissões
api.users.write que não são super-administradores escalem seus privilégios para o nível de super-administrador. Um invasor pode explorar isso para criar chaves de API vinculadas a contas de super-administrador ou remover a autenticação de dois fatores (2FA) de usuários super-administradores, resultando no controle total da instância.Recommendations
Atualize o grav-plugin-api para a versão 1.0.6 ou posterior.
Exploit
Correção
Missing Authorization
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Grav-Plugin-Api