CVE-2026-72831
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Flex Objects (do wersji 1.4.6, testowana z Grav 2.0.11) zawiera podatność na nieprawidłową autoryzację w API Flex Objects. Funkcja FlexApiController::update() sprawdza tylko ogólne uprawnienia katalogu Flex i nie stosuje dodatkowych kontroli celu/pola/super-admina egzekwowanych przez dedykowane kontrolery API Users i Groups. Uwierzytelnione konto z uprawnieniami api.access, admin.login i users.update (ale bez api.users.write lub admin.super) może użyć ogólnego punktu końcowego /api/v1/flex-objects/user-accounts do zmiany hasła super administratora lub punktu końcowego /api/v1/flex-objects/user-groups do nadania swojej grupie uprawnienia admin.super, co prowadzi do pełnego przejęcia strony. Poprawiono w Flex Objects 1.4.7.
Ocena ryzyka
Nieautoryzowana zmiana hasła super administratora lub nadanie uprawnień admin.super może prowadzić do pełnego przejęcia kontroli nad stroną Grav, w tym naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę Flex Objects do wersji 1.4.7 lub nowszej, która zawiera poprawkę, oraz przejrzyj uprawnienia kont użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Flex Objects plugin (through 1.4.6, tested with Grav 2.0.11) contains an incorrect authorization vulnerability in its Flex Objects API. FlexApiController::update() checks only the general Flex directory permission and does not apply the additional target/field/super-admin checks enforced by the dedicated Users and Groups API controllers. An authenticated account with api.access, admin.login, and users.update permissions (but without api.users.write or admin.super) can use the generic /api/v1/flex-objects/user-accounts endpoint to change a super administrator's password, or the /api/v1/flex-objects/user-groups endpoint to grant its group admin.super, resulting in full site takeover. Fixed in Flex Objects 1.4.7.