CVE-2026-114659 in grav-plugin-flex-objects
Riassunto
di VulDB • 22/10/2026
Il plugin Grav Flex Objects nella versione 1.4.0 e nelle versioni precedenti alla 1.4.17 presenta un bypass dell'autorizzazione poiché le rotte API generiche /api/v1/flex-objects/pages verificano solo i permessi di amministrazione a livello di directory (admin.pages), senza applicare i permessi api.pages.read/write dell'API delle pagine o le regole dei permessi a livello di pagina. Gli utenti non superutenti autenticati con permessi api.access e admin.pages oppure admin.configuration.pages possono leggere il codice sorgente della pagina e l'intestazione frontmatter, modificare i contenuti o eliminare pagine per cui sono negati gli accessi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.