CVE-2026-62387

Nome do Software Vulnerável e Versões Afetadas Grav API plugin versões anteriores a 1.0.0-rc.16

Description O plugin utiliza uma configuração padrão de Cross-Origin Resource Sharing (CORS) que define o cabeçalho Access-Control-Allow-Origin como * em todas as respostas, incluindo respostas de preflight (OPTIONS) e endpoints autenticados. Essa configuração permite que qualquer site malicioso realize requisições cross-origin autenticadas caso um invasor obtenha um token de acesso válido por meio de métodos como vazamento de logs, histórico do navegador, captura de rede ou cabeçalhos Referer. O plugin aceita credenciais através dos cabeçalhos Authorization e X-API-Token, que são definidos programaticamente por JavaScript. Um invasor pode utilizar isso para ler dados sensíveis ou realizar operações de escrita em nome do usuário associado ao token.

Recommendations Atualize o Grav API plugin para a versão 1.0.0-rc.16.