CVE-2026-100673 in Data Manager Plugin
الملخص
بحسب VulDB • 26/09/2026
تسمح الإصدارات من 1.0.1 إلى 1.4.4 من إضافة Grav Data Manager (getgrav/grav-plugin-datamanager) بعرض إدخالات البيانات المخزنة في عرض تفاصيل العنصر (admin/templates/partials/item.html.twig) دون تهريب، وذلك بتطبيق مرشح Twig `raw` — وفي بعض الحالات بعد استدعاء دالة PHP's strip_tags() التي تتجاوزها عبر الحفاظ على الوسوم المسموحة مع سماتها. يمكن لزائر غير مصرح له بتقديم نموذج من الواجهة الأمامية whose submissions are saved to user/data لتخزين حمولة HTML تنفذ كـ JavaScript في جلسة المستخدم ومن مصدر مسؤول يفتح لاحقاً هذا الإدخال في لوحة الإدارة الكلاسيكية، مما يؤدي إلى تشغيلها بصلاحيات ذلك المسؤول ورمز CSRF الخاص به. يحدث التنفيذ دون تفاعل إضافي لقيم القوائم (مثل حقول مربعات الاختيار أو التحديد المتعدد) وعند التمرير بالفأرة لحقول النص العادية. المواقع التي تستخدم واجهة Grav 2.0 Admin Next غير متأثرة، لأنها تعرض نفس البيانات عبر مسار كود منفصل يقوم بالتهريب بشكل صحيح. تم إصلاح المشكلة في الإصدار 1.4.5 من Data Manager.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.