What is CVE-2026-72829?
CVE-2026-72829 is a critical privilege escalation vulnerability in the Grav API plugin (before 1.0.13). The UsersController's create() and update() methods bypass the API-key scope cap by relying on a bare isSuperAdmin() check for granting super-privileges, violating intended authorization controls. Immediate update to the latest plugin version is strongly advised.
Azərbaycanca: CVE-2026-72829, Grav CMS-in API plaginində (1.0.13-dən əvvəl) aşkarlanan kritik bir boşluqdur. UsersController-in create() və update() metodlarında API açarının səlahiyyət məhdudiyyətinin (scope cap) yan keçilməsi, super-admin imtiyazlarının yalnız isSuperAdmin() yoxlaması ilə verilməsi nəticəsində zəif icazə mexanizminə səbəb olur. Təcili olaraq plaqini ən son versiyaya yeniləmək tövsiyə edilir.
Related CVEs
link basis: same weakness class CWE-863; shared vendor: getgrav
FAQ2
Which versions of the Grav CMS plugin are affected by CVE-2026-72829?
The Grav API plugin versions before 1.0.13 are affected by this vulnerability.
What privileged operation can be performed due to CVE-2026-72829?
The vulnerability allows privilege escalation by bypassing the API-key scope cap, as the UsersController's create() and update() methods grant super-admin privileges based solely on an isSuperAdmin() check.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.