CVE-2026-85602 in Grav Form Plugin
Zusammenfassung
von VulDB • 04.09.2026
Das Grav-Formular-Plugin (getgrav/grav-plugin-form) in den Versionen 8.0.6 bis 9.1.19 wählt die zu überprüfende reCAPTCHA-Version ausschließlich anhand des im eingereichten Payload vorhandenen Antwortfeldschlüssels aus. Auf einer für reCAPTCHA v3 konfigurierten Website kann ein anonymer Angreifer sein v3-Token unter dem Feldnamen von v2 (g-recaptcha-response statt token) platzieren, wodurch die Validierung den v2-Zweig verwendet, der niemals die Schwellenwertbewertung (score threshold) anwendet oder die erwartete Aktion überprüft. Dies führt zu einer vollständigen Umgehung des reCAPTCHA-v3-Bot-Schutzes. Das Problem wurde in Version 9.1.20 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.