CVE-2026-72824

Nome do Software Vulnerável e Versões Afetadas Grav API plugin (getgrav/grav-plugin-api) versões anteriores a 1.0.13

Descrição Existe um bypass de limite de escopo de chave de API na função guardTwigContent() dentro do PagesController. O problema ocorre porque a verificação do Twig-toggle utiliza um gate isSuperAdmin() simples e não consulta os api key scopes. Consequentemente, uma chave de API de privilégios mínimos com escopo apenas para api.pages.write e emitida por uma conta superusuário pode habilitar o process.twig ao salvar uma página, mesmo que o admin.pages twig esteja intencionalmente fora do escopo api.pages. Quando security.twig content.process enabled está definido como true e editor enabled como false, isso permite a injeção de template no servidor (SSTI)—uma vulnerabilidade onde um invasor injeta templates maliciosos que são executados pelo servidor—resultando em execução remota de código.

Recomendações Atualize o Grav API plugin (getgrav/grav-plugin-api) para a versão 1.0.13 ou posterior.