PT-2026-82078 · Grav · Grav-Plugin-Api

Alham-Rizvi

·

CVE-2026-80204

·

Publicado

2026-08-26

·

Atualizado

2026-09-03

CVSS v3.1

5.4

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas Grav API plugin (getgrav/grav-plugin-api) versões anteriores a 1.0.18
Description A função injectSecurityTab() no BlueprintController não aplica a limitação de escopo da chave de API ao decidir se a seção de blueprint de segurança ou permissões de uma página é editável. A função executa verificações isSuperAdmin() e hasPermission() sem um parâmetro de requisição, o que impede a aplicação do scopeAllows(). Consequentemente, um chamador com uma chave de API limitada pode visualizar e potencialmente editar campos de permissão de página além do escopo concedido à chave.
Recommendations Atualize o Grav API plugin (getgrav/grav-plugin-api) para a versão 1.0.18 ou posterior.

Correção

Incorrect Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-80204

Produtos afetados

Grav-Plugin-Api