CVE-2026-72823

Nome do Software Vulnerável e Versões Afetadas Grav API plugin versões anteriores a 1.0.13

Descrição Existe uma falha de bypass de limite de escopo no DemoController do plugin Grav API. A função privada requireSuper() verifica isSuperAdmin() e retorna antecipadamente, ignorando a função requirePermission(), onde a restrição api key scopes é aplicada. Consequentemente, uma chave de API com escopo criado a partir de uma conta superusuário pode ignorar suas restrições ao acessar as operações baseline() e reset(), como o endpoint 'POST /api/v1/demo/reset'. Isso permite que um invasor capture a linha de base da demonstração ou force a reinicialização da mesma, desde que o modo de demonstração esteja configurado com recursos graváveis.

Recomendações Atualize o Grav API plugin para a versão 1.0.13 ou posterior.