CVE-2026-72833

Nome do Software Vulnerável e Versões Afetadas Grav API plugin (getgrav/grav-plugin-api) versões 1.0.6 a 1.0.11

Description Um problema de escalonamento de privilégios existe onde uma chave de API com escopo criado a partir de uma conta de super-administrador pode ignorar suas restrições de escopo definidas. Isso ocorre porque quatro endpoints de gravação nos controladores GroupsController, AccountsConfigController, PreferencesController e DashboardWidgetController utilizam uma verificação isSuperAdmin() que retorna antecipadamente sem chamar a função requirePermission(), que é o único mecanismo que impõe os limites de escopo. Consequentemente, uma chave com permissões apenas de leitura, como api.pages.read, pode executar operações de gravação administrativas, incluindo a modificação de Listas de Controle de Acesso (ACL) de grupo para conceder privilégios de super-administrador a qualquer conta.

Recommendations Atualizar o Grav API plugin (getgrav/grav-plugin-api) para a versão 1.0.13.