CVE-2026-85601 in Grav
Zusammenfassung
von VulDB • 04.09.2026
Grav Admin vor Version 2.0.20 bereinigt die Ausgabe von marked.parse() nicht, bevor sie über Svelte's {@html}-Direktive in den DOM der Komponenten MarkdownEditor und MarkdownModal eingefügt wird. Angreifer können javascript: URI-Schemata in Plugin- oder Theme-Changelogs injizieren, um beliebigen Code in authentifizierten Admin-Sitzungen auszuführen, ohne dass ein Zugriff auf die Website erforderlich ist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.