CVE-2026-75835
Açıklama
Grav API eklentisi (getgrav/grav-plugin-api) 1.0.14 öncesi sürümlerinde, AbstractApiController.php dosyasındaki userPassesAuthorize() işlevinde eksik yetkilendirme zafiyeti bulunmaktadır. İşlev, çağıran isteğin API anahtarı kapsamlarını dikkate almamakta, bunun yerine hesabın ham süper yönetici bayrağına ve ACL izinlerine güvenmektedir. Sonuç olarak, ayrıcalıklı bir hesapta oluşturulmuş kapsamlı bir API anahtarına sahip kimliği doğrulanmış bir saldırgan, beyan edilen kapsam kısıtlamalarını atlatarak anahtar kapsamının reddetmesi gereken yetkilendirme korumalı UI meta verilerine ve öğe tanımlarına (kenar çubuğu/menü çubuğu/widget öğeleri ve kullanıcı listesi sütunları/satır eylemleri/filtre sekmeleri) erişebilmekte ve bu da bilgi ifşasına yol açmaktadır.
Nasıl düzeltilir
- getgrav grav1.0.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | v < 1.0.14 | 1.0.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.