CVE-2026-80203

Nome do Software Vulnerável e Versões Afetadas getgrav/grav-plugin-api versões anteriores a 1.0.18

Descrição O plugin getgrav/grav-plugin-api não impõe o escopo da chave de API na função requireNotSuperTarget() em UsersController.php em sete endpoints sensíveis de gerenciamento de usuários. O sistema utiliza incorretamente isSuperAdmin() na conta atuante em vez de verificar se a chave de API específica possui autoridade super via isSuperWithinScope(). Como resultado, uma chave de API com escopo inferior à autoridade super total, mas pertencente a uma conta de super-administrador, pode realizar ações contra outras contas de super-administrador, como desativar a autenticação de dois fatores (2FA), excluir avatares, gerar novas chaves de API sob a identidade deles ou excluir chaves de API existentes.

Recomendações Atualize o getgrav/grav-plugin-api para a versão 1.0.18 ou posterior.