CVE-2026-62667
Təsvir
Grav API Plugin, saytınızın məzmununa tam başlısız (headless) giriş təmin edən Grav CMS üçün RESTful API-dır. Versiya 1.0.6-ya qədər, Grav API pluginindəki ApiKeyManager::generateKey() elan edilmiş scopes massivini saxlayır, lakin ApiKeyAuthenticator::authenticate() keyData[scopes] hissəsini oxumur və sahib olan istifadəçinin tam kimliyini qaytarır. Nəticədə, AbstractApiController::requirePermission() istifadəçinin tam ACL-ni qiymətləndirir, buna görə də yalnız oxuma (read-only) icazəsi ilə verilmiş açar, sahibin əlçatan olduğu bütün yazma, silmə və inzibati əməliyyatları yerinə yetirə bilir. Bu problem 1.0.6 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| getgrav grav-plugin-api | < 1.0.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.