CVE-2026-114660
CVE-2026-114660 · Grav 2.0.0 before 2.2.5 Unauthorized Page Deletion via Flex Form Directives
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Grav from 2.0.0 before 2.2.5 contains an improper access control vulnerability in FlexDirectory::dynamicFlexField() that allows page authors to call arbitrary Flex object methods via flex-*@ directives in page frontmatter. When a user with page edit rights opens the page, directives calling setStorageKey() and delete() run in their session, deleting protected pages neither account may delete.
CVSS 7.0 · Alta · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Productos y versiones afectados
grav
- Versiones
- ≥ 2.0.0, < 2.2.5: Afectada (semver)
- 2.2.5: No afectada (semver)
Actualiza a 2.2.5