CVE-2026-72823
Açıklama
1.0.13 sürümünden önceki Grav API eklentisi (getgrav/grav-plugin-api), DemoController bileşeninde bir API anahtarı kapsam sınırı atlatma zafiyeti içermektedir. Özel requireSuper() metodu, requirePermission() metodunu çağırmadan önce isSuperAdmin() kontrolü yapar ve erken dönüş sağlar; bu nedenle (yalnızca requirePermission() içinde uygulanan) api_key_scopes sınırı atlanmış olur. Sonuç olarak, süper kullanıcı hesabı üzerinden oluşturulan herhangi bir kapsamlı API anahtarı, baseline() ve reset() işlemlerini (örneğin POST /api/v1/demo/reset) çağırırken kendi kapsam kısıtlamalarını atlayabilir, böylece demo temel çizgisini ele geçirebilir veya zorla demo sıfırlaması gerçekleştirebilir. Etki, demo motoru kontrolü ile sınırlıdır ve demo modunun yazılabilir kaynaklarla yapılandırılmış olması koşuluna bağlıdır.
Nasıl düzeltilir
- getgrav grav1.0.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | v < 1.0.13 | 1.0.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.