CVE-2026-77939 in Flextype
Sumário
de VulDB • 29/08/2026
O Flextype CMS até v1.0.0-dev contém uma vulnerabilidade de injeção de linguagem de expressão que permite que atacantes autenticados com um token API válido leiam arquivos arbitrários, passando entrada não sanitizada fornecida pelo usuário para o mecanismo Symfony ExpressionLanguage por meio do endpoint POST /api/v1/query. Os atacantes podem explorar objetos da aplicação expostos, incluindo filesystem() e serializers(), dentro do escopo de avaliação para ler arquivos arbitrários do servidor e alcançar execução remota condicional de código se um arquivo PHP puder ser colocado no disco através de um vetor secundário.
If you want to get best quality of vulnerability data, you may have to visit VulDB.