CVE-2026-62235

ŚrednieCVSS 6.3

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 17/07/2026(UTC)Przetłumaczono: 18/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Podatność w Grav Flex-Objects przed wersją 1.4.3 umożliwia uwierzytelnionym użytkownikom z uprawnieniem api.access wykonywanie nieautoryzowanych operacji CRUD na katalogach bez skonfigurowanych uprawnień. Atakujący mogą tworzyć, odczytywać, aktualizować, usuwać i eksportować obiekty z dowolnego katalogu bez jawnej konfiguracji uprawnień, omijając zamierzone mechanizmy autoryzacji.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego dostępu do danych i manipulacji nimi w katalogach bez uprawnień, co może prowadzić do wycieku danych, ich modyfikacji lub usunięcia przez osoby posiadające podstawowe poświadczenia API.

Rekomendacja

Należy niezwłocznie zaktualizować Grav Flex-Objects do wersji 1.4.3 lub nowszej, która zawiera poprawkę usuwającą lukę w kontroli dostępu. Dodatkowo zaleca się skonfigurowanie jawnych uprawnień dla wszystkich katalogów.

Inne podatności w Grav Flex-Objects

CVE-2026-56707Wysokie
Wtyczka Grav Flex Objects w wersjach 1.4.0 do 1.4.7 zawiera podatność na obejście autoryzacji w shortcode flex-objects, umożliwiającą użytkownikom z uprawnieniami do edycji stron renderowanie dowolnej zarejestrowanej kolekcji Flex bez sprawdzania uprawnień. Atakujący mogą umieścić shortcode na opublikowanych stronach, aby ujawnić wrażliwe zawartości katalogów, w tym informacje o kontach użytkowników, omijając ACL authorize egzekwowane w panelu administracyjnym.

Oryginalny opis (angielski, źródło NVD)

Grav Flex-Objects before version 1.4.3 contains a broken access control vulnerability in the admin-next REST API that allows authenticated users with only api.access permission to perform unauthorized CRUD operations on permission-less directories. Attackers with api.access credentials can create, read, update, delete, and export objects from any directory lacking an explicit permissions configuration, bypassing intended authorization controls.