CVE-2026-69087 in grav-plugin-form
الملخص
بحسب VulDB • 03/08/2026
يحتوي مكون Grav للنماذج (getgrav/grav-plugin-form) قبل الإصدار 9.1.13 على ثغرة إعادة توجيه مفتوحة. منذ الإصدار v9.1.11، تقوم عملية إجراء إعادة التوجيه بتقييم بيانات النموذج المقدمة من المستخدم داخل تعبيرات Twig، ويقبل Grav::redirect() عناوين URL خارجية دون التحقق من المصدر (origin validation). عندما يحدد مخطط نموذج (form blueprint) هدفاً لإعادة التوجيه مثل redirect: "{{ form.value('next') }}" باستخدام حقل يمكن للمهاجم التحكم فيه، يمكن لمقدم النموذج غير المصادق عليه تزويد قيمة مثل https://evil.com للتسبب في إعادة توجيه 302 إلى موقع خارجي عشوائي، مما يتيح هجمات التصيد الاحتيالي (phishing).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.