CVE-2026-114659
CVE-2026-114659 · Grav Flex Objects 1.4.0 before 1.4.17 Authorization Bypass via Pages API Routes
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Grav Flex Objects plugin 1.4.0 before 1.4.17 contains an authorization bypass because its generic /api/v1/flex-objects/pages API routes check only directory-level admin.pages permissions, without enforcing the Pages API's api.pages.read/write permissions or page-level permissions rules. Authenticated non-super users with api.access and admin.pages or admin.configuration.pages permissions can read page source and frontmatter, modify content, or delete pages they are denied.
CVSS 7.1 · Высокий · EPSS 0,6% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
grav-plugin-flex-objects
- Версии
- ≥ 1.4.0, < 1.4.17: Затронуто (semver)
- 1.4.17: Не затронуто (semver)
Обновитесь до 1.4.17