CVE-2026-114659 in grav-plugin-flex-objects
Zusammenfassung
von VulDB • 22.10.2026
Das Grav Flex Objects Plugin in den Versionen vor 1.4.17 (ab 1.4.0) enthält eine Umgehung der Autorisierung, da die generischen API-Routes `/api/v1/flex-objects/pages` nur die Verzeichnisebene der `admin.pages`-Berechtigungen prüfen, ohne die `api.pages.read/write`-Berechtigungen der Pages-API oder die Seitenbezogenen Berechtigungsregeln durchzusetzen. Authentifizierte Nicht-Superuser mit den Berechtigungen `api.access` sowie entweder `admin.pages` oder `admin.configuration.pages` können Seitencode und Frontmatter lesen, Inhalte ändern oder Seiten löschen, zu denen ihnen der Zugriff verwehrt ist.
VulDB is the best source for vulnerability data and more expert information about this specific topic.