CVE-2026-42843
Açıklama
Grav API Plugin, sitenizin içeriğine, medyasına, yapılandırmasına, kullanıcılarına ve sistem yönetimine tam headless erişim sağlayan Grav CMS için bir RESTful API'dir. 1.0.0-beta.15 sürümünden önce, Grav API eklentisindeki (UsersController::update) güvenli olmayan doğrudan nesne referansı ve mantık hatası, temel API erişimine (api.access) sahip herhangi bir kimliği doğrulanmış kullanıcının kendi izin yapılandırmasını değiştirmesine olanak tanır. Bir saldırgan, bunu ayrıcalıklarını Süper Yöneticiye (admin.super ve api.super) yükseltmek için kullanabilir; bu durum tüm sistemin ele geçirilmesine ve potansiyel uzaktan kod çalıştırmaya (RCE) yol açabilir. Bu güvenlik açığı 1.0.0-beta.15 sürümünde giderilmiştir.
Nasıl düzeltilir
- getgrav/grav-plugin-api1.0.0-beta.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav-plugin-api | 1.0.0 | — |
| getgrav/grav-plugin-apiPackagist | v < 1.0.0-beta.15 | 1.0.0-beta.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.