CVE-2026-114659

Nome do Software Vulnerável e Versões Afetadas Grav Flex Objects versões 1.4.0 até 1.4.16

Descrição Existe uma falha de bypass de autorização no endpoint de API genérico '/api/v1/flex-objects/pages'. O problema ocorre porque o sistema verifica apenas as permissões de admin.pages no nível do diretório e não aplica as regras de permissão no nível da página ou as permissões api.pages.read/write da API de Páginas. Consequentemente, usuários autenticados que não sejam superusuários e possuam permissões de api.access e admin.pages ou admin.configuration.pages podem ler a origem da página e o frontmatter, modificar conteúdo ou excluir páginas para as quais não têm autorização.

Recomendações Atualize o Grav Flex Objects para a versão 1.4.17.