CVE-2026-63408

Nome do Software Vulnerável e Versões Afetadas Grav API Plugin versões anteriores a 1.0.0-rc.16

Description A função JwtAuthenticator::extractBearerToken() aceita um JSON Web Token (JWT) através de um parâmetro de consulta de URL em todos os endpoints /api/v1, incluindo aqueles que alteram o estado. Esse comportamento expõe tokens de acesso válidos no histórico do navegador, cabeçalhos Referer e logs de CDNs, proxies e servidores Apache, permitindo que um invasor com acesso a esses registros reutilize o token e obtenha os privilégios de API do proprietário do token.

Recommendations Atualize o Grav API Plugin para a versão 1.0.0-rc.16.