CVE-2026-77939 in Flextype
요약
\~에 의해 VulDB • 2026. 08. 29.
Flextype CMS v1.0.0-dev 이전 버전에는 Symfony ExpressionLanguage 엔진으로 POST /api/v1/query 엔드포인트를 통해 정제되지 않은 사용자 제공 입력을 전달함으로써 임의 파일 읽기가 가능한 expression language injection 취약점이 포함되어 있습니다. 유효한 API 토큰을 가진 인증된 공격자는 평가 범위 내에서 filesystem() 및 serializers()와 같은 노출된 애플리케이션 객체를 악용하여 서버의 임의 파일을 읽고, 2차 벡터를 통해 PHP 파일을 디스크에 저장할 수 있는 경우 조건부 원격 코드 실행(RCE)을 달성할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.