N00O00B

**Nome do Software Vulnerável e Versões Afetadas** Grav Flex Objects plugin versões anteriores a 1.4.0 **Description** Existe uma injeção de template do lado do servidor (SSTI) armazenada ao renderizar títulos dinâmicos de coleções ou objetos. O plugin passa valores de frontmatter controlados pelo usuário `page.header.flex.collection.title` ou `page.header.flex.object.title` para a função `template from string()` do Twig, fazendo com que sejam avaliados como código Twig em vez de texto simples. Este caminho ignora a função de sanitização `Security::cleanDangerousTwig()`. Um invasor que consiga controlar o frontmatter do título de uma página do Flex Objects acessível publicamente pode executar código Twig arbitrário e escalar para a execução remota de comandos via acesso a serviços internos do Grav, como o agendador (scheduler). **Recommendations** Atualize o Grav Flex Objects plugin para a versão 1.4.0 ou posterior.