CVE-2026-72829

Nome do Software Vulnerável e Versões Afetadas Grav API plugin (getgrav/grav-plugin-api) versões anteriores a 1.0.13

Descrição Existe um bypass de limite de escopo de chave de API nos métodos create() e update() do UsersController. Embora esses métodos apliquem limites de escopo para api.users.write, eles dependem de uma verificação simples isSuperAdmin() que lê access.api.super diretamente sem consultar os escopos da chave. Isso permite que uma chave com escopo api.users.write, criada a partir de uma conta superusuário, defina access.api.super ou atribua um grupo que conceda privilégios de superusuário. Consequentemente, um invasor pode criar ou promover uma conta superusuário completa e autenticar-se como essa conta para obter privilégios administrativos irrestritos.

Recomendações Atualize o Grav API plugin (getgrav/grav-plugin-api) para a versão 1.0.13 ou posterior.