Vulnerabilidad en grav de getgrav (CVE-2026-75832)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
18/08/2026
Última modificación:
22/10/2026
Descripción
El plugin API de Grav (getgrav/grav-plugin-api, incluido con Grav 2.0) anterior a la versión 1.0.14 (corregido en 1.0.15) contiene una vulnerabilidad de autorización faltante en BlueprintPathResolver::resolveUserScope(). El método restringe el alcance users/[name] basándose en el indicador ACL ’super-admin’ sin procesar de la cuenta (access.api.super) en lugar de validar el alcance real de la clave API presentada. Un atacante que posee una clave API con un alcance limitado solo a api.media.write, emitida en una cuenta de superadministrador, puede eludir la verificación de autorización y, a través de POST /blueprint-upload o GET /blueprint-files, escribir un archivo en el alcance de otro usuario (en el directorio compartido user/accounts/, restringido a extensiones de imagen por assertSafeExtension()) y navegar por el listado de archivos de ese alcance, a pesar de que a la clave no se le haya concedido api.users.write.
Impacto
Puntuación base 4.0
9.30
Gravedad 4.0
CRÍTICA
Puntuación base 3.x
4.30
Gravedad 3.x
MEDIA