CVE-2026-62670— grav-plugin-flex-objects 管理API授权失败漏洞
可能的 ATT&CK 技术 1AI
T1078.001 · Default Accounts获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-62670 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Fail-open authorization in grav-plugin-flex-objects admin-next API: api.access user gets full CRUD on permission-less directories (requireFlexPermission missing else-deny)
来源: CVE Program / CVE List V5
Vulnerability Description
Grav Flex Objects Plugin allows you to build custom collections of objects. Prior to 1.4.3, the Grav Flex Objects Admin Next API requireFlexPermission() method in classes/Api/FlexApiController.php returns without denying access when a directory blueprint omits config.admin.permissions. An authenticated account with only api.access can use the index, show, create, update, delete, export, and media handlers for a permission-less directory even though the core admin.flex-object. authorization fallback would deny the same actions. This issue is fixed in version 1.4.3.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制缺失
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| getgrav | grav-plugin-flex-objects | < 1.4.3 | - |
二、漏洞 CVE-2026-62670 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-62670 的情报信息
请登录查看更多情报信息。
CVE-2026-62670 补丁与修复 (1)
CVE-2026-62670 厂商安全公告 (1)
CVE-2026-62670 厂商页面 (1)
同批安全公告 · getgrav · 2026-08-19 · 共 17 条
| CVE-2026-62668 | 9.4 CRITICAL | Grav API插件 Webhook SSRF漏洞 |
| CVE-2026-62666 | 8.8 HIGH | Grav API 插件越权创建 API 密钥漏洞 |
| CVE-2026-64850 | 8.7 HIGH | Grav Blueprint::dynamicData() 远程代码执行漏洞 |
| CVE-2026-64852 | 8.7 HIGH | Grav API Plugin API密钥生成/撤销缺少授权漏洞 |
| CVE-2026-64851 | 8.5 HIGH | Grav shortcode-core 插件存储型XSS漏洞 |
| CVE-2026-62673 | 8.2 HIGH | Grav CMS .htaccess绕过漏洞 |
| CVE-2026-63407 | 8.2 HIGH | Grav API 插件认证响应存在CORS跨域漏洞 |
| CVE-2026-62667 | 8.1 HIGH | Grav API 插件 API 密钥权限未强制执行导致越权 |
| CVE-2026-63408 | 7.5 HIGH | Grav API插件JWT令牌绕过漏洞 |
| CVE-2026-62669 | 7.4 HIGH | Grav Login插件2FA绕过漏洞 |
| CVE-2026-61690 | 6.5 MEDIUM | Grav 解压缩炸弹漏洞 - 缺少提取限制 |
| CVE-2026-61842 | 6.5 MEDIUM | Grav Twig沙箱配置外泄漏洞 |
| CVE-2026-62672 | 6.0 MEDIUM | Grav Twig 沙箱 regex_replace 认证绕过导致拒绝服务漏洞 |
| CVE-2026-62671 | 5.4 MEDIUM | Grav Login插件 CSRF漏洞，可篡改用户2FA密钥 |
| CVE-2026-53654 | 5.3 MEDIUM | Grav 未授权通过登录两步验证取消重定向漏洞 |
| CVE-2026-61607 | 4.6 MEDIUM | Grav API插件SVG上传存储型XSS漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-62670
暂无评论