CVE-2026-44737

ŚrednieCVSS 6.2

Opublikowano: 11/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Wtyczka grav-plugin-admin w wersjach przed 1.10.49.5 nie waliduje i nie sanityzuje poprawnie danych wejściowych w parametrze data[header][title]. Atakujący może stworzyć złośliwy URL z ładunkiem XSS, który zostanie odbity w odpowiedzi HTTP i wykonany w przeglądarce ofiary.

Ocena ryzyka

Może to prowadzić do wykonania dowolnego kodu JavaScript w kontekście sesji ofiary, potencjalnie kradzieży danych lub przejęcia konta.

Rekomendacja

Zaktualizuj grav-plugin-admin do wersji 1.10.49.5 lub nowszej.

Inne podatności w grav-plugin-admin

CVE-2026-59190Wysokie
Wtyczka grav-plugin-admin w wersji 1.10.52 i wcześniejszych umożliwia uwierzytelnionemu atakującemu z uprawnieniami admin.users zmianę hasła dowolnego użytkownika, w tym super administratora. Podatność wynika z braku weryfikacji, czy osoba wywołująca może edytować docelowe konto, podczas gdy funkcja saveUser sprawdza jedynie ogólne uprawnienia do zarządzania użytkownikami.

Oryginalny opis (angielski, źródło NVD)

grav-plugin-admin is the admin plugin for Grav is an HTML user interface that provides a convenient way to configure Grav and easily create and modify pages. Prior to 1.10.49.5, the application fails to properly validate and sanitize user input in the data[header][title] parameter. As a result, attackers can craft a malicious URL with an XSS payload. When this URL is accessed, the injected script is reflected back in the HTTP response and executed within the context of the victim's browser session. This vulnerability is fixed in 1.10.49.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS