CVE-2026-114659
CVE-2026-114659 · Grav Flex Objects 1.4.0 before 1.4.17 Authorization Bypass via Pages API Routes
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Grav Flex Objects plugin 1.4.0 before 1.4.17 contains an authorization bypass because its generic /api/v1/flex-objects/pages API routes check only directory-level admin.pages permissions, without enforcing the Pages API's api.pages.read/write permissions or page-level permissions rules. Authenticated non-super users with api.access and admin.pages or admin.configuration.pages permissions can read page source and frontmatter, modify content, or delete pages they are denied.
CVSS 7.1 · Élevée · EPSS 0,6% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
grav-plugin-flex-objects
- Versions du logiciel
- ≥ 1.4.0, < 1.4.17: Concernée (semver)
- 1.4.17: Non concernée (semver)
Mettez à jour vers 1.4.17