CVE-2026-75828
WysokieCVSS 8.7Streszczenie
Grav przed wersją 2.0.15 zawiera podatność na trwały cross-site scripting w funkcji detectXss(), gdzie niesparowane cudzysłowy w niecytowanych wartościach atrybutów omijają wykrywanie procedur obsługi zdarzeń. Uwierzytelnieni edytorzy mogą wstrzyknąć procedury obsługi zdarzeń, takie jak onerror=, które przechodzą walidację i wykonują się w przeglądarkach odwiedzających podczas renderowania treści strony.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację Grav do wersji 2.0.15 lub nowszej oraz ograniczenie uprawnień edytorskich do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Grav before 2.0.15 contains a stored cross-site scripting vulnerability in the detectXss() function where unpaired quotes in unquoted attribute values bypass event-handler detection. Authenticated editors can inject event handlers like onerror= that pass validation and execute in visitor browsers when page content is rendered.