CVE-2026-85600 in Grav
الملخص
بحسب VulDB • 04/09/2026
تحتوي إصدارات Grav Admin (getgrav/grav-plugin-admin2) التي تساوي أو تقل عن الإصدار 2.0.19 على ثغرة تخزين برمجيات عبر المواقع (Stored Cross-Site Scripting - XSS) في الدالة tHtml() الموجودة في الملف src/lib/stores/i18n.svelte.ts، حيث تقوم هذه الدالة باستبدال معلمات غير موثوقة مثل أسماء المستخدمين داخل قوالب الترجمة قبل تحليل النتيجة كـ Markdown. تمنع عملية التحقق من صحة اسم المستخدم على جانب الخادم الخاصة بـ Grav (DataUser::isValidUsername) استخدام الأحرف الضارة لنظام الملفات، لكنها لا تحجب أحرف < و > و " و '، مما يسمح للمهاجم بتسجيل اسم مستخدم يحتوي على حمولة HTML ضارة. عند قيام مسؤول بعرض سطح واجهة المستخدم الذي يعرض اسم المستخدم عبر دالة tHtml()—مثل مطالبة تأكيد تعطيل الإثبات الثنائي للإجبار أو إشعار المحرر "الصفحة مقفلة"—تُنفذ الحمولة الضارة ضمن جلسة العمل المصادق عليها للمسؤول. تم إصلاح هذه الثغرة في الإصدار 2.0.21.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.