CVE-2026-71236

WysokieCVSS 8.7

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Parser treści żądań API w Grocy (controllers/Api/BaseApiController.php, GetParsedAndFilteredRequestBody) oczyszcza przychodzące wartości pól za pomocą HTMLPurifier, a następnie ręcznie odwraca kodowanie encji HTML wynikowego wyjścia, zastępując &lt;, &gt; i &amp; z powrotem na <, > i & bezpośrednio po oczyszczeniu.

Ocena ryzyka

To odwrócenie kodowania może umożliwić atakującemu obejście oczyszczania HTML i wstrzyknięcie złośliwego kodu HTML lub JavaScript do aplikacji, co może prowadzić do ataków XSS.

Rekomendacja

Zaktualizuj Grocy do wersji, która nie odwraca kodowania encji po oczyszczeniu, lub zastosuj dodatkowe zabezpieczenia, takie jak ponowne oczyszczanie danych wyjściowych.

Inne podatności w Grocy

CVE-2026-50890Krytyczne
W wersji 4.6.0 aplikacji grocy odkryto podatność typu SQL injection w parametrze product-group w ścieżce /stockreports/spendings. Umożliwia to atakującym dostęp do wrażliwych informacji z bazy danych za pomocą spreparowanego zapytania SQL.

Oryginalny opis (angielski, źródło NVD)

Grocy's API request-body parser (controllers/Api/BaseApiController.php, GetParsedAndFilteredRequestBody) purifies incoming field values with HTMLPurifier, then manually reverses HTML-entity encoding of the resulting output by replacing &lt;, &gt;, and &amp; back to <, >, and & immediately after purification.