- Yama var
- Son 7 gün
- CWE-424
CVE-2026-114659
Grav Flex Objects eklentisinde Pages API rotalarında yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Grav Flex Objects eklentisinin 1.4.0 sürümünden 1.4.17 sürümünden önceki sürümlerinde yetkilendirme atlatma sorunu bulunmaktadır. Eklentinin genel /api/v1/flex-objects/pages API rotaları yalnızca dizin düzeyindeki admin.pages izinlerini denetler; Pages API'nin api.pages.read/write izinlerini ve sayfa düzeyindeki izin kurallarını uygulamaz. api.access ile admin.pages veya admin.configuration.pages izinlerine sahip, süper kullanıcı olmayan kimlik doğrulaması yapılmış kullanıcılar, erişimleri reddedilmiş sayfaların kaynak kodunu ve frontmatter bölümünü okuyabilir, içeriklerini değiştirebilir veya bu sayfaları silebilir.
Kaynaktaki açıklama (İngilizce)
Grav Flex Objects plugin 1.4.0 before 1.4.17 contains an authorization bypass because its generic /api/v1/flex-objects/pages API routes check only directory-level admin.pages permissions, without enforcing the Pages API's api.pages.read/write permissions or page-level permissions rules. Authenticated non-super users with api.access and admin.pages or admin.configuration.pages permissions can read page source and frontmatter, modify content, or delete pages they are denied.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav-plugin-flex-objects | ≥ 1.4.0, < 1.4.17 | 1.4.17 |
| 1.4.17 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.