CVE-2026-69087 in grav-plugin-form
Zusammenfassung
von VulDB • 03.08.2026
Das Grav-Formularplugin (getgrav/grav-plugin-form) vor Version 9.1.13 enthält eine Open-Redirect-Schwachstelle. Seit v9.1.11 wertet die Redirect-Prozessaktion Benutzereingaben aus Formularfeldern innerhalb von Twig-Ausdrücken aus, und Grav::redirect() akzeptiert externe URLs ohne Ursprungsvalidierung (Origin Validation). Wenn ein Formblau-Druckziel wie redirect: "{{ form.value('next') }}" unter Verwendung eines Angreifer-kontrollierbaren Felds definiert ist, kann ein nicht authentifizierter Formularabsender einen Wert wie https://evil.com angeben, um eine 302-Umleitung zu einer beliebigen externen Site auszulösen und so Phishing zu ermöglichen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.