CVE-2026-63407
Açıklama
Grav API Plugin, sitenizin içeriğine tam headless erişim sağlayan Grav CMS için bir RESTful API'dir. 1.0.0-rc.16 sürümünden önce, Grav API plugin CorsMiddleware bileşeni, kimliği doğrulanmış /api/v1 uç noktaları için Access-Control-Allow-Origin: * ve izin verici OPTIONS yanıtları döndürmektedir. Herhangi bir kökenden gelen JavaScript; saldırgan tarafından elde edilmiş bir JWT'yi Authorization veya X-API-Token başlığı aracılığıyla gönderebilir, kimliği doğrulanmış yanıtı okuyabilir ve token sahibinin ayrıcalıklarıyla yazma işlemleri gerçekleştirebilir; bu durum veri sızdırmayı ve hesap değişikliğini mümkün kılar. Bu sorun 1.0.0-rc.16 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav-plugin-api | < 1.0.0-rc.16 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.