CVE-2026-72830

1.0.13 öncesindeki Grav API plugin versiyonları, ConfigController süper kapsam kapılarında API anahtarı kapsam sınırlarını uygulamada başarısız olur ve kapsamlı anahtarların zamanlayıcı yapılandırmasına yazmasına izin verir. Kapsam sınırı yalnızca requirePermission() içinde uygulanırken; zamanlayıcı ve yedekleme kapıları, api_key_scopes değerini hiçbir zaman kontrol etmeyen yalın bir isSuperAdmin() kontrolü kullanır. Bu nedenle, süper bir hesap üzerinden oluşturulmuş ve api.config.write kapsamına sahip bir API anahtarını elinde bulunduran bir saldırgan, scheduler.custom_jobs kısmına rastgele komutlar enjekte edebilir; bu komutlar Job::run() tarafından bir Symfony Process'e aktarılarak web sunucusu kullanıcısı olarak işletim sistemi komut çalıştırılmasına yol açar.