What is CVE-2026-62667?
CVE-2026-62667 is a critical vulnerability in Grav API Plugin versions prior to 1.0.6 where the authentication mechanism fails to enforce defined scopes on API keys. Although ApiKeyManager::generateKey() stores a scopes array, ApiKeyAuthenticator::authenticate() ignores it and returns the owning user without restriction. This allows attackers to bypass permission controls and gain full unauthorized access. Immediate update to version 1.0.6 is required.
Azərbaycanca: CVE-2026-62667 Grav API Plugin-in 1.0.6-dan əvvəlki versiyalarında aşkar edilmiş kritik bir zəiflikdir. Bu zəiflik, `ApiKeyManager::generateKey()` funksiyasının API açarına təyin edilmiş `scopes` massivini saxlamasına baxmayaraq, `ApiKeyAuthenticator::authenticate()` funksiyasının bu məhdudiyyətləri yoxlamaması ilə əlaqədardır. Nəticədə, API açarı sahibinin icazələri yoxlanılmır və təcavüzkar istifadəçi rollarını keçərək sistemi tam ələ keçirə bilər. Təcili olaraq Grav API Plugin-i 1.0.6 versiyasına yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-863
FAQ2
Which versions of Grav API Plugin are affected by CVE-2026-62667?
This vulnerability affects all versions of the plugin prior to 1.0.6.
What is the root cause of CVE-2026-62667?
The root cause is that the `ApiKeyAuthenticator::authenticate()` function grants full permissions to the owner without validating the `scopes` array stored for the API key.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.