What is CVE-2026-72824?
CVE-2026-72824: The Grav API plugin (before 1.0.13) has an API key scope-cap bypass in PagesController::guardTwigContent(). The bare isSuperAdmin() check ignores api_key_scopes, allowing a least-privilege API key (scoped only to api.pages.write) to modify Twig content. Upgrade to version 1.0.13 to fix the issue.
Azərbaycanca: CVE-2026-72824: Grav API plaginində (1.0.13-dən əvvəlki versiyalar) PagesController-də Twig məzmununa giriş nəzarəti zəifliyi mövcuddur. Bu boşluq, api.pages.write kimi məhdud səlahiyyətə malik API açarı olan istifadəçilərə `isSuperAdmin()` yoxlamasını keçərək Twig fayllarını dəyişməyə imkan verir. Plagin 1.0.13 versiyasına yenilənməlidir.
Related CVEs
link basis: same weakness class CWE-863; shared vendor: Grav
FAQ2
What level of API key does an attacker need to exploit CVE-2026-72824?
An attacker can exploit this vulnerability with a least-privilege API key that is scoped only to `api.pages.write`.
How can CVE-2026-72824 be fixed?
Upgrade the Grav API plugin to version 1.0.13.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.