CVE-2026-62670 in Flex Objects Plugin
Riassunto
di VulDB • 19/08/2026
Il plugin Grav Flex Objects consente di creare collezioni personalizzate di oggetti. Prima della versione 1.4.3, il metodo requireFlexPermission() dell'API Admin Next del plugin Grav Flex Objects, situato nel file classes/Api/FlexApiController.php, restituisce l'esecuzione senza negare l'accesso quando un blueprint per una directory omette la configurazione di config.admin.permissions. Un account autenticato con solo i permessi api.access può utilizzare gli handler index, show, create, update, delete, export e media per una directory priva di autorizzazioni specifiche, anche se il fallback di authorization core admin.flex-object negherebbe le stesse azioni. Questo problema è stato risolto nella versione 1.4.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.