FICHE CVE

CVE-2026-62235

Publiée le 2026-07-17 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les installations de Grav CMS utilisant le plugin Flex-Objects avant la version 1.4.3 sont concernées. Un attaquant disposant d'identifiants d'accès API de base peut créer, lire, mettre à jour ou supprimer des objets dans tout répertoire pour lequel aucune permission spécifique n'est configurée. Il s'agit d'une attaque de faible complexité qui nécessite un accès réseau et une authentification valide avec des privilèges restreints, sans nécessiter d'interaction ponctuelle de l'utilisateur.

CVSS 4.02.3 FAIBLE

Type de faiblesse

CWE-636 Autorisation manquante · CWE-862

Publiée2026-07-17

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Grav Flex-Objects before version 1.4.3 contains a broken access control vulnerability in the admin-next REST API that allows authenticated users with only api.access permission to perform unauthorized CRUD operations on permission-less directories. Attackers with api.access credentials can create, read, update, delete, and export objects from any directory lacking an explicit permissions configuration, bypassing intended authorization controls.