CVE-2026-72825

Nome do Software Vulnerável e Versões Afetadas getgrav/grav-plugin-api versões anteriores a 1.0.13

Descrição Existe uma falha de bypass de escopo de chave de API no ReportsController através do endpoint 'POST /reports/twig-content/allowlist'. O problema ocorre porque o endpoint utiliza a função isSuperAdmin() em vez de requireSuper(). Como a função isSuperAdmin() lê access.api.super diretamente sem consultar api key scopes, uma chave de API com privilégios limitados com escopo para api.config.write criada a partir de uma conta superusuário pode ignorar as verificações de segurança. Isso permite que um invasor adicione tokens arbitrários à lista de permissões security.twig sandbox em user/config/security.yaml. A expansão desta lista de permissões pode levar a uma Injeção de Template no Lado do Servidor (SSTI), que pode resultar em Execução Remota de Código (RCE), onde um invasor executa código arbitrário no servidor.

Recomendações Atualize o getgrav/grav-plugin-api para a versão 1.0.13 ou posterior.