CVE-2026-72831

Nome do Software Vulnerável e Versões Afetadas Flex Objects versões 1.0.0 through 1.4.6

Description Um problema de autorização incorreta existe na API do Flex Objects. A função FlexApiController::update() verifica apenas as permissões gerais do diretório Flex e não aplica as verificações de alvo, campo e super-administrador exigidas pelos controladores da API de Usuários e Grupos. Um usuário autenticado com as permissões api.access, admin.login e users.update pode explorar isso usando o endpoint '/api/v1/flex-objects/user-accounts' para alterar a senha de um super administrador ou o endpoint '/api/v1/flex-objects/user-groups' para conceder ao seu grupo privilégios admin.super, resultando no controle total do site.

Recommendations Atualizar para a versão 1.4.7.