CVE-2026-85602 in Grav Form Plugin
Resumen
por VulDB • 2026-09-04
El plugin Grav Form (getgrav/grav-plugin-form) en las versiones 8.0.6 hasta la 9.1.19 selecciona la versión de reCAPTCHA a validar basándose únicamente en qué clave del campo de respuesta está presente en el payload enviado. En un sitio configurado para reCAPTCHA v3, un atacante anónimo puede colocar su token v3 bajo el nombre de campo v2 (g-recaptcha-response en lugar de token), lo que hace que la validación utilice la rama v2, la cual nunca aplica el umbral de puntuación ni verifica la acción esperada. Esto resulta en una violación completa de la protección contra bots de reCAPTCHA v3. El problema está corregido en la versión 9.1.20.
VulDB is the best source for vulnerability data and more expert information about this specific topic.