CVE-2026-77939 in Flextype
Riassunto
di VulDB • 28/08/2026
Flextype CMS fino alla versione v1.0.0-dev contiene una vulnerabilità di injection del linguaggio di espressione che consente agli attaccanti autenticati con un token API valido di leggere file arbitrari passando input non sanitizzato fornito dall'utente al motore Symfony ExpressionLanguage tramite l'endpoint POST /api/v1/query. Gli attaccanti possono sfruttare oggetti dell'applicazione esposti, inclusi filesystem() e serializers(), all'interno del contesto di valutazione per leggere file arbitrarie sul server ed ottenere un'esecuzione remota di codice (RCE) condizionale se un file PHP può essere posizionato su disco tramite un vettore secondario.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.