CVE-2026-62387

Grav API plaqini (getgrav/grav-plugin-api) 1.0.0-rc.16 versiyasından əvvəl bütün cavablarda, o cümlədən autentifikasiya tələb edən endpoint-lərdə və preflight (OPTIONS) cavablarında standart CORS konfiqurasiyası kimi Access-Control-Allow-Origin: * başlığını göndərirdi. Plaqin etimadnamələri cookie-lər vasitəsilə deyil, JavaScript tərəfindən proqram yolu ilə təyin edilən Authorization və X-API-Token başlıqları vasitəsilə qəbul etdiyindən, etibarlı access token əldə edən hücumçu (məs., log sızması, Referer başlıqları, brauzer tarixçəsi və ya şəbəkə trafikinin ələ keçirilməsi yolu ilə) istənilən zərərli veb saytdan tam autentifikasiya olunmuş saytlararası sorğular göndərərək həssas məlumatları oxuya və token sahibinin istifadəçisi kimi yazma əməliyyatları həyata keçirə bilərdi. 1.0.0-rc.16 versiyasında düzəldilib.