CVE-2026-58657 in Grav
Zusammenfassung
von VulDB • 08.07.2026
Grav vor Version 2.0.0 (betroffen bis einschließlich 2.0.0-rc.9 und der Zweigversion 2.0) enthält eine gespeicherte CSS-Injektionsschwachstelle in der Medienaktion `resize()` für Markdown-Bilder. Vorherige Maßnahmen zur Härtung von Medien blockieren direkte `?style=`-Payloads sowie unsichere `attribute()`-Fallbacks, doch die Aktion `resize()` in `Excerpts::processMediaActions()` schreibt aufruferkontrollierte Werte direkt in die `styleAttributes` des Bildes. Ein Benutzer mit geringeren Berechtigungen (Content Editor), der Markdown-Seiten bearbeiten kann, kann eine manipulierte Bild-URL mit semikolontrennenden CSS-Deklarationen in den resize-Parametern speichern. Diese werden gerendert als das finale `<img style=...>`-Attribut, wenn ein Benutzer mit höheren Berechtigungen (Reviewer/Admin) die Seite oder die Vorschau aufruft. Dies erfordert keine JavaScript-Ausführung, ermöglicht jedoch UI Redress/Overlay-Angriffe und Content-Manipulationen (z. B. eine feste Overlay-Bildschirmfüllung). Behoben in Version 2.0.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.