CVE-2026-86194

Wtyczka Grav Form (getgrav/grav-plugin-form) w wersjach od 8.0.6 do 9.1.19 wybiera wersję reCAPTCHA do walidacji wyłącznie na podstawie obecności klucza pola odpowiedzi w przesłanym żądaniu. Na stronie skonfigurowanej dla reCAPTCHA v3 anonimowy atakujący może umieścić swój token v3 pod nazwą pola v2 (g-recaptcha-response zamiast token), co powoduje użycie gałęzi v2, która nie stosuje progu oceny ani nie weryfikuje oczekiwanej akcji. Prowadzi to do całkowitego obejścia ochrony botów reCAPTCHA v3. Problem naprawiono w wersji 9.1.20.

Wtyczka Grav Form przed wersją 9.1.19 nie escapuje właściwości definicji pól, w tym prepend, append, tekst spacera, tekst sekcji i etykiety opcji select w szablonach formularzy. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać dowolny HTML i JavaScript, który wykonuje się dla wszystkich odwiedzających formularz przez nieescapowane filtry |raw i niecytowane atrybuty.

Wtyczka Grav Form przed wersją 9.1.15 zawiera podatność na trwały atak XSS w etykietach opcji pól radio i przełączników, renderowanych z użyciem filtra Twig |raw. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać kod HTML i skrypty w etykiety opcji, które wykonują się w przeglądarkach odwiedzających i administratorów przeglądających formularz.

Wtyczka formularzy Grav (getgrav/grav-plugin-form) przed wersją 9.1.13 zawiera podatność na otwarte przekierowanie. Od wersji 9.1.11 akcja przekierowania ocenia dane formularza w wyrażeniach Twig, a Grav::redirect() akceptuje zewnętrzne URL-e bez walidacji pochodzenia. Nieuwierzytelniony użytkownik może podać złośliwy URL, powodując przekierowanie 302 na dowolną zewnętrzną stronę.