CVE-2026-72826
Açıklama
1.0.13 sürümünden önceki getgrav/grav-plugin-api eklentisi, createApiKey fonksiyonunda yeni oluşturulan bir API anahtarının kapsamlarının (scopes), çağrıyı yapan kullanıcının kapsamlarının bir alt kümesi olduğunu doğrulamada başarısız olur. requireApiKeyPermission() fonksiyonunun kendi hedef yolu yalnızca temel api.access kapsamını gerektirir ve yeni anahtarın kapsamları, herhangi bir alt küme kontrolü yapılmaksızın doğrudan istek gövdesinden okunur. Süper hesapta minimum kapsama sahip bir API anahtarına sahip olan bir saldırgan, kapsam kısıtlamalarını atlatarak kapsamı belirlenmemiş tam erişimli bir süper anahtar üretmek için boş bir kapsamlar dizisi gönderebilir (ve konfigürasyon yazma yoluyla uzaktan kod çalıştırma (RCE) gibi daha ileri zincirlere olanak tanıyabilir).
Nasıl düzeltilir
- getgrav grav-plugin-api1.0.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav-plugin-api | v < 1.0.13 | 1.0.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.