CVE-2026-72831
Təsvir
Flex Objects plagini (1.4.6 versiyasına qədər, Grav 2.0.11 ilə sınaqdan keçirilmişdir) özünün Flex Objects API-da yanlış avtorizasiya zəifliyinə malikdir. FlexApiController::update() funksiyası yalnız ümumi Flex kataloq icazələrini yoxlayır və xüsusi Users və Groups API kontrollerləri tərəfindən tətbiq edilən əlavə hədəf/sahə/super-admin yoxlamalarını həyata keçirmir. api.access, admin.login və users.update icazələrinə malik olan, lakin api.users.write və ya admin.super icazələri olmayan autentifikasiya olunmuş hesab, super administratorun şifrəsini dəyişmək üçün ümumi /api/v1/flex-objects/user-accounts son nöqtəsindən (endpoint), yaxud öz qrupuna admin.super icazəsi vermək üçün /api/v1/flex-objects/user-groups son nöqtəsindən istifadə edə bilər ki, bu da saytın tam nəzarətinin ələ keçirilməsi ilə nəticələnir. Problem Flex Objects 1.4.7 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- trilbymedia grav-plugin-flex-objects1.4.7 və ya daha yeni versiya
- github.com/getgrav/grav/commit/ad9709f865b09b68798fb1ac375b484a8cc1d892
- github.com/trilbymedia/grav-plugin-flex-objects/commit/0b384f5b0e73b1ad9dd29c70185407895ea3b09f
- github.com/getgrav/grav-plugin-api/commit/8071c10bc3a4743a4b8cf003dfb1644d6680c2ea
- github.com/getgrav/grav-plugin-admin2/commit/a0bf26f7e5d7a98894b7cd2b8c5afe419b264e53
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| getgrav grav | 2.0.11 | — |
| trilbymedia grav-plugin-flex-objects | v < 1.4.7 | 1.4.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.