Nicl4Ssic

The Grav API plugin (getgrav/grav-plugin-api) before 1.0.6 contains an authorization bypass: API keys can be created with a restricted scopes array, but the ApiKeyAuthenticator class never reads or enforces these scopes. It loads and returns the owning user's full account object, so a key created with limited scopes (e.g. read-only) can perform any write, delete, or administrative operation the owning user is authorized for. Fixed in 1.0.6.

Grav before 2.0.4 contains a two-factor authentication bypass vulnerability in the login plugin where the regenerate2FASecret task checks only user existence, not authorization, during the pending TOTP challenge window. Attackers who know the victim's password can call this task without a CSRF nonce to overwrite the 2FA secret with an attacker-chosen value, compute a valid TOTP code, and complete authentication while reducing 2FA to password-only protection.

The Grav API plugin (getgrav/grav-plugin-api) before 1.0.0-rc.16 accepts JWT access tokens through the ?token= URL query parameter on every API route (JwtAuthenticator::extractBearerToken fallback). Because tokens are embedded in URLs, they are logged verbatim in web server access logs, leaked via the Referer header, stored in browser history, and captured by upstream proxy and CDN logs, exposing valid admin access tokens. A leaked token grants unauthorized API access, including reading configuration and user data, creating admin accounts, modifying system settings, and deleting pages.

The Grav API plugin (getgrav/grav-plugin-api) before 1.0.0-rc.16 shipped Access-Control-Allow-Origin: * as its default CORS configuration on all responses, including authenticated endpoints and preflight (OPTIONS) responses. Because the plugin accepts credentials via the Authorization and X-API-Token headers (set programmatically by JavaScript rather than via cookies), an attacker who obtains a valid access token (e.g., via log leakage, Referer headers, browser history, or network capture) can issue fully authenticated cross-origin requests from any malicious website to read sensitive data and perform write operations as the token's user. Fixed in 1.0.0-rc.16.

**Nome do Software Vulnerável e Versões Afetadas** Grav Admin2 plugin versões anteriores a 2.0.4 **Description** O plugin incorpora uma variável JavaScript global `window. GRAV CONFIG ` na página de bootstrap do Admin2 SPA no endpoint '/grav/admin' e suas subrotas. Este objeto é retornado em cada resposta não autenticada e revela a URL do servidor, o prefixo da API, o caminho base do administrador, o tipo de ambiente de execução e os números exatos das versões do Grav e do Admin2. Isso permite que um invasor não autenticado identifique a implantação e selecione exploits específicos da versão sem a necessidade de reconhecimento. **Recommendations** Atualize o plugin Grav Admin2 para a versão 2.0.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Grav API plugin versões anteriores a 1.0.0-rc.16 **Descrição** O plugin aceita JSON Web Tokens (JWT) através do parâmetro de consulta de URL `token` e retorna o cabeçalho Access-Control-Allow-Origin: *. Essa configuração permite que atacantes não autenticados realizem requisições de API cross-origin totalmente autenticadas a partir de sites maliciosos. Se um token JWT for vazado por meio de logs de acesso, logs de proxy, histórico do navegador ou cabeçalhos Referrer, um atacante pode exfiltrar dados sensíveis de usuários e configurações ou criar contas de super-administrador persistentes como backdoor. **Recomendações** Atualize o Grav API plugin para a versão 1.0.0-rc.16 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Grav API plugin versões anteriores a 1.0.1 **Descrição** Um problema de upload de arquivo irrestrito existe no endpoint de upload de avatar '/api/v1/users/user/avatar'. O sistema valida apenas o tipo MIME declarado pelo cliente usando `getClientMediaType` para verificar se começa com 'image/', sem inspecionar o conteúdo real do arquivo ou restringir extensões. Isso permite que usuários autenticados façam upload de conteúdo arbitrário, como código PHP, arquivos SVG com JavaScript incorporado ou payloads poliglotas, para o diretório 'user/accounts/avatars/' com nomes de arquivos previsíveis. Embora o .htaccess bloqueie o acesso HTTP direto a esses arquivos, a persistência deles no disco pode permitir a execução remota de código ou Cross-Site Scripting (XSS) armazenado caso haja uma falha de path traversal ou configuração incorreta do servidor. **Recomendações** Atualizar para a versão 1.0.1.