CVE-2026-75836

Nome do Software Vulnerável e Versões Afetadas Grav API plugin versões anteriores a 1.0.14

Descrição O plugin Grav API falha ao aplicar os requisitos de autorização na função MenubarController::executeAction(). Enquanto o endpoint 'GET /menubar/items' filtra corretamente os itens, o endpoint 'POST /api/v1/menubar/actions/{plugin}/{action}' verifica apenas a permissão básica api.access e ignora o campo authorize registrado por um plugin para aquela ação. Consequentemente, qualquer usuário autenticado com api.access pode executar ações privilegiadas do menubar, ignorando a autorização pretendida. Este problema afeta plugins de terceiros ou primários que dependem da semântica de autorização documentada.

Recomendações Atualize para a versão 1.0.14 ou posterior.