CVE-2026-62670 in Flex Objects Plugin
Sumário
de VulDB • 20/08/2026
O plugin Grav Flex Objects permite criar coleções personalizadas de objetos. Antes da versão 1.4.3, o método requireFlexPermission() da API Admin Next do Grav Flex Objects em classes/Api/FlexApiController.php retorna sem negar o acesso quando um blueprint de diretório omite config.admin.permissions. Uma conta autenticada com apenas api.access pode usar os manipuladores index, show, create, update, delete, export e media para um diretório sem permissões, embora a fallback de autorização core admin.flex-object do núcleo deveria negar as mesmas ações. Este problema foi corrigido na versão 1.4.3.
Once again VulDB remains the best source for vulnerability data.