CVE-2026-72823
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Grav API (getgrav/grav-plugin-api) przed wersją 1.0.13 zawiera obejście ograniczeń zakresu klucza API w DemoController. Prywatna metoda requireSuper() sprawdza isSuperAdmin() i zwraca wcześniej, przed wywołaniem requirePermission(), więc ograniczenie api_key_scopes (egzekwowane tylko w requirePermission()) jest pomijane. W rezultacie każdy klucz API z ograniczonym zakresem wybity na koncie super może ominąć ograniczenia zakresu podczas wywoływania operacji baseline() i reset() (np. POST /api/v1/demo/reset), umożliwiając przechwycenie baseline demo lub wymuszenie resetu demo. Wpływ jest ograniczony do kontroli silnika demo i jest warunkowy, jeśli tryb demo jest skonfigurowany z zasobami do zapisu.
Ocena ryzyka
Atakujący z ograniczonym kluczem API może manipulować funkcjami demo, co może prowadzić do nieautoryzowanych zmian lub zakłóceń w działaniu.
Rekomendacja
Zaleca się aktualizację wtyczki Grav API do wersji 1.0.13 lub nowszej. Należy również sprawdzić konfigurację trybu demo.
Oryginalny opis (angielski, źródło NVD)
The Grav API plugin (getgrav/grav-plugin-api) before 1.0.13 contains an API-key scope cap bypass in DemoController. Its private requireSuper() method checks isSuperAdmin() and returns early before invoking requirePermission(), so the api_key_scopes cap (enforced only in requirePermission()) is skipped. As a result, any scoped API key minted on a super account can bypass its scope restrictions when calling the baseline() and reset() operations (e.g. POST /api/v1/demo/reset), allowing it to capture the demo baseline or force a demo reset. Impact is bounded to demo-engine control and is conditional on demo mode being configured with writable resources.