| Title | Grav CMSのGrav-plugin-apiにおける不正な認証に関する脆弱性 |
|---|---|
| Summary | Grav APIプラグインは、Grav CMSのためのRESTful APIであり、サイトのコンテンツ、メディア、設定、ユーザー、およびシステム管理へ完全なヘッドレスアクセスを提供します。1.0.0-beta.15より前のバージョンでは、Grav APIプラグインのUsersController::updateにおける安全でない直接オブジェクト参照およびロジックの欠陥により、基本的なAPIアクセス権（api.access）を持つ認証済みユーザーが自身の権限設定を変更できてしまいます。攻撃者はこれを悪用して権限をスーパ管理者（admin.superおよびapi.super）に昇格させることができ、システム全体を侵害し潜在的なリモートコード実行（RCE）を引き起こす可能性があります。この脆弱性は1.0.0-beta.15で修正されています。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 11, 2026, midnight |
| Registration Date | May 29, 2026, 11:19 a.m. |
| Last Update | May 29, 2026, 11:19 a.m. |
| CVSS3.0 : 重要 | |
| Score | 8.8 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Grav CMS |
| Grav-plugin-api 1.0.0 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月29日] 掲載 |
May 29, 2026, 11:19 a.m. |
| Summary | Grav API Plugin is a RESTful API for Grav CMS that provides full headless access to your site's content, media, configuration, users, and system management. Prior to 1.0.0-beta.15, an insecure direct object reference and logic flaw in the Grav API plugin (UsersController::update) allows any authenticated user with basic API access (api.access) to modify their own permission configuration. An attacker can exploit this to escalate their privileges to Super Administrator (admin.super and api.super), leading to full system compromise and potential RCE. This vulnerability is fixed in 1.0.0-beta.15. |
|---|---|
| Publication Date | May 12, 2026, 2:16 a.m. |
| Registration Date | May 12, 2026, 4:14 a.m. |
| Last Update | May 14, 2026, 1:04 a.m. |