Cyberkareem

grav-plugin-api before 1.0.6 fails to validate super-admin status in createApiKey, generate2fa, and disable2fa endpoints, allowing non-super api.users.write managers to escalate to super-admin. Attackers can mint API keys bound to super-admin accounts or strip 2FA from super-admin users to achieve full instance takeover.

Grav Flex-Objects before version 1.4.3 contains a broken access control vulnerability in the admin-next REST API that allows authenticated users with only api.access permission to perform unauthorized CRUD operations on permission-less directories. Attackers with api.access credentials can create, read, update, delete, and export objects from any directory lacking an explicit permissions configuration, bypassing intended authorization controls.

grav-plugin-login before 3.8.11 contains a cross-site request forgery (CSRF) vulnerability in the login.regenerate2FASecret frontend task, which regenerates and persists a new TOTP secret for the authenticated session user without any anti-CSRF nonce or Origin/Referer check. Because Grav core dispatches the task from the GET 'task:' URI parameter and the default session cookie is SameSite=Lax, an attacker can lure a logged-in victim to an off-site page that performs a top-level GET navigation, rotating the victim's TOTP secret so their enrolled authenticator no longer matches the server, effectively forcing 2FA re-enrollment. Sites configured with session.samesite: Strict are not affected.

**Nome do Software Vulnerável e Versões Afetadas** Parse Server versões 9.0.0 até 9.10.0-alpha.1 Parse Server versões 8.x até 8.6.83 **Description** Um problema de cross-site scripting (XSS) armazenado ocorre quando o software não reconhece a extensão de um arquivo enviado através do pacote mime, fazendo com que ele preserve o Content-Type fornecido pelo cliente. Um Content-Type malformado que não segue o formato válido de tipo/subtipo de mídia (por exemplo, 'image', 'image/' ou 'image//svg+xml') pode ignorar a lista de bloqueio `fileUpload.fileExtensions` e ser armazenado sem alterações. Em adaptadores de armazenamento que persistem e servem o Content-Type enviado, como Amazon S3, Google Cloud Storage ou Azure Blob Storage, os navegadores podem não conseguir analisar o valor malformado e realizar o MIME-sniffing. Isso permite que um arquivo cujo corpo comece com HTML seja renderizado como HTML, executando scripts incorporados na origem da aplicação contra outros usuários que abrirem a URL do arquivo. O adaptador de armazenamento padrão GridFS não é afetado. **Recommendations** Atualize para a versão 9.10.0-alpha.2 ou posterior. Atualize para a versão 8.6.84 ou posterior.