CVE-2026-56707

WysokieCVSS 7.7

Opublikowano: 25/08/2026(UTC)Zaktualizowano: 27/08/2026(UTC)Przetłumaczono: 25/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka Grav Flex Objects w wersjach 1.4.0 do 1.4.7 zawiera podatność na obejście autoryzacji w shortcode flex-objects, umożliwiającą użytkownikom z uprawnieniami do edycji stron renderowanie dowolnej zarejestrowanej kolekcji Flex bez sprawdzania uprawnień. Atakujący mogą umieścić shortcode na opublikowanych stronach, aby ujawnić wrażliwe zawartości katalogów, w tym informacje o kontach użytkowników, omijając ACL authorize egzekwowane w panelu administracyjnym.

Ocena ryzyka

Ryzyko polega na nieautoryzowanym dostępie do wrażliwych danych, w tym danych kont użytkowników, co może prowadzić do naruszenia poufności i eskalacji uprawnień.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Grav Flex Objects do najnowszej wersji, która usuwa tę podatność, oraz ograniczenie uprawnień do edycji stron tylko do zaufanych użytkowników.

Inne podatności w Grav Flex Objects

CVE-2026-62235Średnie
Podatność w Grav Flex-Objects przed wersją 1.4.3 umożliwia uwierzytelnionym użytkownikom z uprawnieniem api.access wykonywanie nieautoryzowanych operacji CRUD na katalogach bez skonfigurowanych uprawnień. Atakujący mogą tworzyć, odczytywać, aktualizować, usuwać i eksportować obiekty z dowolnego katalogu bez jawnej konfiguracji uprawnień, omijając zamierzone mechanizmy autoryzacji.

Oryginalny opis (angielski, źródło NVD)

Grav Flex Objects plugin versions 1.4.0 through 1.4.7 contain an authorization bypass vulnerability in the flex-objects shortcode that allows users with page-edit access to render any registered Flex collection without permission checks. Attackers can place the shortcode in published pages to expose sensitive directory contents including user account information, bypassing the authorize ACL enforced in the admin panel.