CVE-2026-72822
Açıklama
1.0.13 öncesindeki (etkilenen <= 1.0.12) getgrav/grav-plugin-api Composer paketi, disable2fa uç noktasında API anahtarı kapsam sınırlarını uygulamada başarısız olur. Benzer olan generate2fa uç noktasının aksine, disable2fa yönetici (kendisi olmayan) yolunu yalnızca ACL okumaları (isSuperAdmin/hasPermission) aracılığıyla yetkilendirir ve hiçbir zaman requirePermission() fonksiyonunu çağırmaz; bu nedenle api_key_scopes sınırı asla uygulanmaz. Sonuç olarak, süper bir hesapta dar kapsamlı bir API anahtarına sahip olan veya ACL'si api.users.write içeren süper olmayan bir hesap sahibi, herhangi bir TOTP kodu sağlamadan POST /api/v1/users/{user}/2fa/disable üzerinden süper olmayan herhangi bir hedef hesaptaki iki faktörlü kimlik doğrulamayı zorla devre dışı bırakabilir ve bu durum hesap ele geçirmeyi kolaylaştırır.
Nasıl düzeltilir
- getgrav grav1.0.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | v < 1.0.13 | 1.0.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.