CVE-2026-62670 in Flex Objects Plugin
Resumen
por VulDB • 2026-08-19
El plugin Grav Flex Objects permite construir colecciones personalizadas de objetos. Antes de la versión 1.4.3, el método requireFlexPermission() de la API Admin Next del plugin en classes/Api/FlexApiController.php devuelve sin denegar el acceso cuando un blueprint de directorio omite config.admin.permissions. Una cuenta autenticada con solo api.access puede utilizar los controladores index, show, create, update, delete, export y media para un directorio sin permisos, aunque la autorización fallback del núcleo admin.flex-object debería denegar las mismas acciones. Este problema se soluciona en la versión 1.4.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.