Vulnerability in Grav Flex Objects plugin (CVE-2026-56707)
Summary
Vulnerability in Grav Flex Objects plugin (CVE-2026-56707). Confidential information can be exposed externally. Exploitable via authorize.
Original description
The description as published by the source.
Grav Flex Objects plugin versions 1.4.0 through 1.4.7 contain an authorization bypass vulnerability in the flex-objects shortcode that allows users with page-edit access to render any registered Flex collection without permission checks. Attackers can place the shortcode in published pages to expose sensitive directory contents including user account information, bypassing the authorize ACL enforced in the admin panel.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
GravのFlex Objectsプラグインバージョン1.4.0から1.4.7において、認証回避の脆弱性が存在します。ページ編集アクセスを持つユーザーが、この脆弱性を利用して、権限チェックなしに登録済みの任意のFlexコレクションをレンダリング可能です。この結果、管理パネルで強制されている権限ACLをバイパスし、ユーザーアカウント情報などの機密ディレクトリ内容を公開する恐れがあります。
Grav Flex Objectsプラグインには、認証バイパスの脆弱性があります。
Grav Flex Objectsプラグインバージョン1.4.0から1.4.7。
悪意のあるユーザーが、管理パネルの権限制限を回避し機密情報を露出させる可能性があります。
脆弱性の修正が提供されるまで、Flex Objectsプラグインを無効化または適切なバージョンにアップグレードします。
ページ編集アクセスを持つユーザーに適切な権限を設定し、コードの無断登録を防ぎます。
Flex Objectsプラグインを使用しているサイトをチェックし、バージョンが1.4.7以下であることを確認します。
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com