CVE-2026-75836

1.0.14 versiyasından əvvəlki Grav API plugini (Grav-ın admin-next/API stekinə daxil olan getgrav/grav-plugin-api), MenubarController::executeAction() funksiyasında authorize tələbinin tətbiqində uğursuz olur. GET /menubar/items siyahı son nöqtəsi (endpoint) menubar elementlərini userPassesAuthorize() vasitəsilə düzgün şəkildə filtrləsə də, POST /api/v1/menubar/actions/{plugin}/{action} son nöqtəsi yalnız baza api.access icazəsini yoxlayır və həmin hərəkət üçün qeydiyyatdan keçmiş pluginin authorize sahəsini heç vaxt qiymətləndirmir. Buna görə də, api.access icazəsinə malik istənilən autentifikasiya olunmuş çağırıcı, nəzərdə tutulmuş avtorizasiyadan yan keçərək, imtiyazlı menubar hərəkətini birbaşa çağıra bilər. Hazırda nüvə Grav ilə tədarük edilən heç bir plugin imtiyazlı authorize idarəedicisini qeydiyyata almır, buna görə də standart quraşdırmada təsir gizli qalır; bu çatışmazlıq sənədləşdirilmiş authorize semantikasından asılı olan istənilən birinci və ya üçüncü tərəf plugininə təsir göstərir.