CVE-2026-72828
Açıklama
Grav Plugin API (getgrav/grav-plugin-api) 1.0.13 öncesi sürümlerinde InvitationsController, API anahtarı kapsam sınırlarını uygulamaz. strip-super ve accept-groups kararları, kapsam farkındalığı olan bir izin kontrolü yerine yalnızca isSuperAdmin() kontrolüne bağlıdır; bu nedenle bir süper hesapta oluşturulmuş en az yetkili (api.users.write kapsamına sahip) bir API anahtarı, süper yönetici erişim bayrakları içeren bir davet kaydı oluşturabilir. Davet kabul edildiğinde bu bayraklar yeni hesaba olduğu gibi yazılır ve tamamen kontrol edilen bir süper hesaba yetki yükseltme ile sonuçlanır.
Nasıl düzeltilir
- getgrav grav1.0.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | v < 1.0.13 | 1.0.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.