CVE-2026-62666
Təsvir
Grav API Plugin, saytınızın məzmununa tam başlısız (headless) giriş təmin edən Grav CMS üçün RESTful API-dır. Versiya 1.0.6-ya qədər Grav API plugininin UsersController::createApiKey(), generate2fa() və disable2fa() funksiyaları digər istifadəçi dəyişikliyi son nöqtələri tərəfindən istifadə edilən accessGrantsSuper() hədəf yoxlamasını ötürür. api.users.write icazəsinə malik olan super olmayan hesab, requireApiKeyPermission() vasitəsilə access.api.super hədəfinə bağlı API açarı yarada bilər və açar əhatələrinin tətbiq edilməməsi səbəbindən hədəfin bütün imtiyazlarını əldə edərək daimi super-administrator girişi yarada bilər; eyni çatışmayan yoxlama həmçinin hədəfin iki faktorlu autentifikasiyasının yenilənməsinə və ya deaktiv edilməsinə şərait yaradır. Bu problem 1.0.6 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| getgrav grav-plugin-api | < 1.0.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.