CVE-2026-75832

Nome do Software Vulnerável e Versões Afetadas Grav API plugin versões anteriores a 1.0.15

Descrição Existe uma falha de bypass de autorização na função BlueprintPathResolver::resolveUserScope(). O sistema verifica a flag ACL de super-administrador da conta access.api.super em vez de validar o escopo real da chave de API fornecida. Um invasor com uma chave de API com escopo limitado a api.media.write criada a partir de uma conta de super-administrador pode ignorar a autorização. Isso permite que o invasor utilize os endpoints 'POST /blueprint-upload' ou 'GET /blueprint-files' para gravar arquivos no escopo de outro usuário dentro do diretório compartilhado user/accounts/ (limitado a extensões de imagem por assertSafeExtension()) e navegar pela listagem de arquivos desse escopo, mesmo sem a permissão api.users.write.

Recomendações Atualize o Grav API plugin para a versão 1.0.15.