Se ha detectado una vulnerabilidad crítica en el plugin getgrav/grav-plugin-api, identificada como CVE-2026-80203, que ha sido catalogada con una puntuación de 9.8 sobre 10 en la escala CVSS. Esta vulnerabilidad plantea un riesgo grave para los sistemas que la implementan y exige una respuesta inmediata por parte de los equipos de ciberseguridad encargados de la protección de estos entornos.
La vulnerabilidad se encuentra en versiones anteriores a la 1.0.18 del plugin mencionado y se manifiesta en la función requireNotSuperTarget() dentro del archivo UsersController.php. Este fallo de seguridad se origina en la ausencia de una verificación adecuada del ámbito de la clave API utilizada. En lugar de comprobar si la clave API tiene autoridad de superadministrador mediante la función isSuperWithinScope(), el sistema solo evalúa si la cuenta actuante es un superadministrador a través de la función isSuperAdmin(). Esto permite que una clave API con un ámbito inferior a la plena autoridad de superadministrador, pero perteneciente a un usuario superadministrador, pueda realizar acciones contra otras cuentas de superadministrador. Entre las acciones que un atacante podría llevar a cabo se incluyen la desactivación de la autenticación de dos factores (2FA), la eliminación de avatares, la creación de nuevas claves API bajo la identidad de la víctima o la eliminación de claves API existentes.
Desde el punto de vista técnico, esta vulnerabilidad está clasificada como CWE-863, indicando una debilidad específica relacionada con la gestión inadecuada de la autorización. El vector de ataque es de tipo NETWORK, con una complejidad de ataque considerada baja. Es importante destacar que no se requieren privilegios específicos para llevar a cabo el ataque ni es necesaria la interacción del usuario, lo que aumenta la gravedad del problema.
Con una puntuación CVSS de 9.8, esta vulnerabilidad se clasifica como CRÍTICA en la versión 3.1 del Common Vulnerability Scoring System, que evalúa las vulnerabilidades en una escala del 0 al 10. Las vulnerabilidades que superan la puntuación de 9.0 son consideradas de alto riesgo y, en muchos casos, permiten la ejecución remota de código, la escalada de privilegios o el compromiso total del sistema afectado.
Para obtener más información técnica y acceder a los parches disponibles, los administradores de sistemas pueden consultar las siguientes referencias: [GitHub Advisory](https://github.com/getgrav/grav/security/advisories/GHSA-94q7-vrqr-cx5v) y [VulnCheck Advisory](https://www.vulncheck.com/advisories/grav-before-1.0.18-authentication-bypass-via-scoped-api-key).
Se recomienda encarecidamente a todas las organizaciones que utilizan el plugin afectado que apliquen los parches de seguridad disponibles de manera inmediata. Además, es crucial revisar los sistemas en busca de posibles indicadores de compromiso y monitorizar el tráfico de red en busca de actividades sospechosas asociadas con esta vulnerabilidad. La rápida adopción de estas medidas de mitigación es fundamental para la protección de los activos digitales y la integridad de los sistemas de información.