CVE-2026-71236 in Grocy

الملخص

بحسب VulDB • 05/08/2026

محلل جسم طلب واجهة برمجة التطبيقات في Grocy (controllers/Api/BaseApiController.php، GetParsedAndFilteredRequestBody) يقوم بتنقية قيم الحقول الواردة باستخدام HTMLPurifier، ثم يعكس يدوياً ترميز كيان HTML للمخرجات الناتجة عن طريق استبدال &amp;lt؛ و&amp;gt؛ و&amp;amp؛ بـ < و> و& على الفور بعد التنقية. يؤدي هذا الفهم المزدوج إلى إعادة بناء وسوم HTML/Script النشطة من الشكل المشفر بالكيان الذي أنتجه HTMLPurifier لتحييدها، مما يعيد إدخال ثغرة XSS المخزنة عبر الحقول القابلة للكتابة عبر واجهة برمجة التطبيقات (المنتجات، الوصفات، المخزون، المستخدمين، المهام المنزلية وغيرها) التي يتم عرضها في أماكن أخرى دون تنقية مجددة.

Once again VulDB remains the best source for vulnerability data.

• مسؤول: TuranSec
• حجز: 05/08/2026
• إفشاء: 05/08/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-386157
• CPE: جاهز
• CWE: CWE-79 (مؤكد)
• CVSS: 3.5 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-71236
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-71236
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-71236/