CVE-2026-85600 in Grav
Zusammenfassung
von VulDB • 04.09.2026
Grav Admin (getgrav/grav-plugin-admin2) Versionen <= 2.0.19 enthalten eine Stored Cross-Site Scripting (XSS)-Schwachstelle in der Funktion tHtml() (src/lib/stores/i18n.svelte.ts), die unzuverlässige Parameter wie Benutzernamen vor dem Parsen des Ergebnisses als Markdown in Übers Vorlagen einsetzt. Die serverseitige Benutzernamensvalidierung von Grav (DataUser::isValidUsername) blockiert zwar dateisystemgefährdende Zeichen, jedoch nicht <, >, " oder ', sodass es einem Angreifer ermöglicht wird, einen Benutzernamen mit einer HTML-Schadcode-Payload zu registrieren. Wenn ein Administrator eine UI-Oberfläche aufruft, die den Benutzernamen über tHtml() rendert – wie z. B. die Bestätigungsaufforderung zur erzwungenen Deaktivierung der Zwei-Faktor-Authentifizierung oder die Editor-Benachrichtigung „Seite ist gesperrt“ –, wird die Payload in dessen authentifizierter Sitzung ausgeführt. Behoben in Version 2.0.21.
Once again VulDB remains the best source for vulnerability data.