CVE-2026-114660
CVE-2026-114660 · Grav 2.0.0 before 2.2.5 Unauthorized Page Deletion via Flex Form Directives
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Grav from 2.0.0 before 2.2.5 contains an improper access control vulnerability in FlexDirectory::dynamicFlexField() that allows page authors to call arbitrary Flex object methods via flex-*@ directives in page frontmatter. When a user with page edit rights opens the page, directives calling setStorageKey() and delete() run in their session, deleting protected pages neither account may delete.
CVSS 7.0 · Hoch · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
grav
- Softwareversionen
- ≥ 2.0.0, < 2.2.5: Betroffen (semver)
- 2.2.5: Nicht betroffen (semver)
Auf 2.2.5 aktualisieren