CVE-2026-69087
ŚrednieCVSS 6.5Streszczenie
Wtyczka formularzy Grav (getgrav/grav-plugin-form) przed wersją 9.1.13 zawiera podatność na otwarte przekierowanie. Od wersji 9.1.11 akcja przekierowania ocenia dane formularza w wyrażeniach Twig, a Grav::redirect() akceptuje zewnętrzne URL-e bez walidacji pochodzenia. Nieuwierzytelniony użytkownik może podać złośliwy URL, powodując przekierowanie 302 na dowolną zewnętrzną stronę.
Ocena ryzyka
Atakujący może wykorzystać to do phishingu, przekierowując użytkowników na fałszywe strony logowania lub złośliwe witryny.
Rekomendacja
Zaktualizuj wtyczkę Grav Form do wersji 9.1.13 lub nowszej, która zawiera poprawkę eliminującą otwarte przekierowanie.
Inne podatności w Grav Form Plugin
Zobacz wszystkie- CVE-2026-75107Średnie
Wtyczka Grav Form przed wersją 9.1.19 nie escapuje właściwości definicji pól, w tym prepend, append, tekst spacera, tekst sekcji i etykiety opcji select w szablonach formularzy. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać dowolny HTML i JavaScript, który wykonuje się dla wszystkich odwiedzających formularz przez nieescapowane filtry |raw i niecytowane atrybuty.
- CVE-2026-72821Średnie
Wtyczka Grav Form przed wersją 9.1.15 zawiera podatność na trwały atak XSS w etykietach opcji pól radio i przełączników, renderowanych z użyciem filtra Twig |raw. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać kod HTML i skrypty w etykiety opcji, które wykonują się w przeglądarkach odwiedzających i administratorów przeglądających formularz.
Oryginalny opis (angielski, źródło NVD)
The Grav form plugin (getgrav/grav-plugin-form) before 9.1.13 contains an open redirect vulnerability. Since v9.1.11, the redirect process action evaluates user-supplied form data inside Twig expressions, and Grav::redirect() accepts external URLs without origin validation. When a form blueprint defines a redirect target such as redirect: "{{ form.value('next') }}" using an attacker-controllable field, an unauthenticated form submitter can supply a value like https://evil.com to cause a 302 redirect to an arbitrary external site, enabling phishing.