CVE-2026-100673 in Data Manager Plugin
Résumé
par VulDB • 26/09/2026
Le plugin Grav Data Manager (getgrav/grav-plugin-datamanager) dans ses versions 1.0.1 à 1.4.4 affiche les entrées de données stockées dans la vue item-detail (admin/templates/partials/item.html.twig) sans échappement, en appliquant le filtre `raw` de Twig — dans certains cas après un appel à striptags('<br>') que PHP's strip_tags() contourne en conservant les balises autorisées ainsi que leurs attributs. Un visiteur non authentifié qui soumet un formulaire front-end dont les soumissions sont sauvegardées dans user/data peut stocker une charge utile HTML qui s'exécute sous forme de JavaScript lors de la session et à l'origine d'un administrateur qui ouvre ultérieurement cette entrée dans le panneau d'administration classique, en exécutant du code avec les privilèges et le jeton CSRF de cet administrateur. L'exécution se produit sans interaction supplémentaire pour les valeurs de liste (telles que les cases à cocher ou les champs multi-sélection) et au survol pour les champs texte ordinaires. Les sites utilisant l'interface Grav 2.0 Admin Next ne sont pas affectés, car elle affiche les mêmes données via un chemin de code distinct qui échappe correctement le contenu. Le problème est corrigé dans Data Manager version 1.4.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.