CVE-2026-72831
Açıklama
Flex Objects eklentisi (1.4.6 sürümüne kadar, Grav 2.0.11 ile test edilmiştir), Flex Objects API'sinde hatalı bir yetkilendirme zafiyeti içermektedir. FlexApiController::update() yalnızca genel Flex dizin izinlerini kontrol eder ve özel Users ve Groups API denetleyicileri tarafından uygulanan ek hedef/alan/süper-yönetici kontrollerini uygulamaz. api.access, admin.login ve users.update izinlerine sahip ancak api.users.write veya admin.super izinlerine sahip olmayan kimliği doğrulanmış bir hesap; süper yöneticinin şifresini değiştirmek için genel /api/v1/flex-objects/user-accounts uç noktasını veya grubuna admin.super yetkisi vermek için /api/v1/flex-objects/user-groups uç noktasını kullanarak sitenin tamamen ele geçirilmesine neden olabilir. Flex Objects 1.4.7 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- trilbymedia grav-plugin-flex-objects1.4.7 ya da sonraki bir sürüm
- github.com/getgrav/grav/commit/ad9709f865b09b68798fb1ac375b484a8cc1d892
- github.com/trilbymedia/grav-plugin-flex-objects/commit/0b384f5b0e73b1ad9dd29c70185407895ea3b09f
- github.com/getgrav/grav-plugin-api/commit/8071c10bc3a4743a4b8cf003dfb1644d6680c2ea
- github.com/getgrav/grav-plugin-admin2/commit/a0bf26f7e5d7a98894b7cd2b8c5afe419b264e53
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | 2.0.11 | — |
| trilbymedia grav-plugin-flex-objects | v < 1.4.7 | 1.4.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.