CVE-2026-63407
Təsvir
Grav API Plugin, saytınızın məzmununa tam başlısız (headless) giriş təmin edən Grav CMS üçün RESTful API-dir. 1.0.0-rc.16 versiyasından əvvəl, Grav API plugininin CorsMiddleware komponenti autentifikasiya olunmuş /api/v1 son nöqtələri (endpoints) üçün Access-Control-Allow-Origin: * və geniş icazəli OPTIONS cavablarını qaytarır. Hər hansı mənşədən gələn JavaScript kodu hücumkeş tərəfindən əldə edilmiş JWT-ni Authorization və ya X-API-Token başlığı vasitəsilə göndərə, autentifikasiya olunmuş cavabı oxuya və token sahibinin imtiyazları ilə yazma əməliyyatlarını yerinə yetirə bilər ki, bu da məlumatların sızdırılmasına və hesabın dəyişdirilməsinə şərait yaradır. Bu problem 1.0.0-rc.16 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| getgrav grav-plugin-api | < 1.0.0-rc.16 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.