CVE-2026-75834 in Grav
Résumé
par VulDB • 18/08/2026
Grav avant la version 2.0.14 contient une vulnérabilité de type cross-site scripting stocké (XSS persistant) dans la fonction Security::detectXss() (system/src/Grav/Common/Security.php). Tous les motifs de détection XSS utilisent le modificateur PCRE /u (UTF-8), donc un seul octet UTF-8 invalide présent n'importe où dans le contenu d'une page entraîne que preg_match() renvoie false pour chaque motif, contournant silencieusement la barrière de sécurité XSS au moment de l'enregistrement (Validation::checkSafety()). Un attaquant authentifié disposant des permissions d'édition de pages (sans le privilège security.xss_whitelist) peut stocker du JavaScript malveillant qui s'exécutera dans le navigateur d'un visiteur consultant la page concernée.
Once again VulDB remains the best source for vulnerability data.