🇰🇷 한글 설명
Grav API 플러그인 1.0.6 미만 버전에서 API 키의 권한 범위(scope)가 제대로 검증되지 않는 취약점이 발견되었습니다. 이로 인해 읽기 전용 권한만 가진 API 키가 해당 키 소유자의 모든 관리자 권한을 행사할 수 있습니다.
💡 쉬운 설명
제한된 권한만 가져야 하는 열쇠가 실제로는 주인과 똑같은 모든 권한을 행사할 수 있는 보안 결함입니다. 이로 인해 읽기 전용 사용자가 사이트의 내용을 삭제하거나 설정을 변경할 수 있습니다.
🇺🇸 원문 (English)
Grav API Plugin is a RESTful API for Grav CMS that provides full headless access to your site's content. Prior to 1.0.6, the Grav API plugin ApiKeyManager::generateKey() stores a declared scopes array, but ApiKeyAuthenticator::authenticate() does not read keyData[scopes] and returns the owning user's complete identity. AbstractApiController::requirePermission() consequently evaluates the full user ACL, so a key issued for a read-only scope can perform every write, delete, and administrative operation available to the owner. This issue is fixed in version 1.0.6.
📍 영향받는 시스템
Grav API Plugin version < 1.0.6
⚔️ 공격 벡터
제한된 권한(scope)을 가진 API 키를 사용하여 관리자 권한이 필요한 API 엔드포인트에 요청을 보냄
🛡️ 대응 방법
Grav API Plugin을 최신 버전인 1.0.6 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.0.0부터 1.0.5 사이의 버전이 나타나면 취약한 상태이며, 결과가 없으면 안전합니다.
grep -r "version" /path/to/grav/plugins/api-plugin/ | grep -E '1.0\[0-5\]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access