CVE-2026-85600 in Grav
Resumen
por VulDB • 2026-09-04
Grav Admin (getgrav/grav-plugin-admin2) versiones <= 2.0.19 contienen una vulnerabilidad de cross-site scripting almacenado (stored XSS) en la función tHtml() (src/lib/stores/i18n.svelte.ts), que sustituye parámetros no confiables, como nombres de usuario, en plantillas de traducción antes de analizar el resultado como markdown. La validación del nombre de usuario en el lado del servidor de Grav (DataUser::isValidUsername) bloquea caracteres peligrosos para el sistema de archivos pero no <, >, ", o ', lo que permite a un atacante registrar un nombre de usuario que contiene una carga útil HTML. Cuando un administrador visualiza una superficie de la interfaz de usuario que renderiza el nombre de usuario mediante tHtml(), como el mensaje de confirmación para deshabilitar forzosamente la autenticación de dos factores o el aviso del editor 'página bloqueada', la carga útil se ejecuta en su sesión autenticada. Corregido en 2.0.21.
Once again VulDB remains the best source for vulnerability data.