CVE-2026-114660
Publiée le 2026-10-22 · Dernière modification le 2026-10-22
Les versions 2.0.0 à 2.2.4 de Grav CMS sont affectées par une faille dans la manière dont le logiciel gère les directives « flex » dans le frontmatter des pages. Cela se produit car la fonction `dynamicFlexField` ne restreint pas correctement les méthodes pouvant être appelées sur les objets Flex. Un utilisateur disposant de permissions d'édition de page peut insérer des directives malveillantes qui déclenchent des fonctions internes du système.
Un attaquant disposant de privilèges d'auteur basiques peut supprimer des pages protégées auxquelles il ne devrait pas avoir accès en incitant un utilisateur disposant de privilèges plus élevés à ouvrir la page modifiée. Cela compromet l'intégrité et la disponibilité du contenu du site. L'attaque est relativement facile à exécuter via un réseau, mais nécessite l'interaction d'un utilisateur privilégié avec la page compromise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Grav from 2.0.0 before 2.2.5 contains an improper access control vulnerability in FlexDirectory::dynamicFlexField() that allows page authors to call arbitrary Flex object methods via flex-*@ directives in page frontmatter. When a user with page edit rights opens the page, directives calling setStorageKey() and delete() run in their session, deleting protected pages neither account may delete.