CVE-2026-100673 in Data Manager Plugin
Zusammenfassung
von VulDB • 26.09.2026
Das Plugin „Grav Data Manager“ (getgrav/grav-plugin-datamanager) in den Versionen 1.0.1 bis 1.4.4 gibt gespeicherte Dateneinträge in der Detailansicht des Elements (admin/templates/partials/item.html.twig) ohne Escaping aus, indem es Twig’s `raw`-Filter anwendet – in einigen Fällen nach einem Aufruf von striptags('<br>'), den PHPs strip_tags() umgeht, indem er zulässige Tags zusammen mit ihren Attributen beibehält. Ein nicht authentifizierter Besucher, der ein Frontend-Formular absendet, dessen Eingaben in user/data gespeichert werden, kann eine HTML-Nutzlast speichern, die als JavaScript im Kontext und Ursprung eines Administrators ausgeführt wird, wenn dieser später diesen Eintrag im klassischen Admin-Bereich öffnet, wobei er mit den Berechtigungen und dem CSRF-Token des Administrators läuft. Die Ausführung erfolgt ohne weitere Interaktion für Listenwerte (wie Checkbox- oder Multi-Auswahlfelder) und bei Hover-Ereignissen für normale Textfelder. Websites, die das Grav 2.0 Admin Next Interface verwenden, sind nicht betroffen, da es dieselben Daten über einen separaten, korrekt escapenden Codepfad rendert. Das Problem ist in Data Manager 1.4.5 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.