CVE-2026-62670

Nome do Software Vulnerável e Versões Afetadas Grav Flex Objects Plugin versões anteriores a 1.4.3

Description Existe um problema onde a função requireFlexPermission() em classes/Api/FlexApiController.php não nega o acesso quando um blueprint de diretório omite config.admin.permissions. Isso permite que uma conta autenticada apenas com api.access ignore a falha de autorização principal admin.flex-object.. Consequentemente, os usuários podem utilizar os manipuladores de index, show, create, update, delete, export e media para diretórios sem permissões explícitas.

Recommendations Atualize o Grav Flex Objects Plugin para a versão 1.4.3.