CVE-2026-85600 in Grav
Résumé
par VulDB • 04/09/2026
Grav Admin (getgrav/grav-plugin-admin2) versions <= 2.0.19 présentent une vulnérabilité de type cross-site scripting stocké (stored XSS) dans la fonction tHtml() (src/lib/stores/i18n.svelte.ts), qui substitue des paramètres non fiables tels que les noms d'utilisateur dans des modèles de traduction avant d'analyser le résultat en tant que markdown. La validation du nom d'utilisateur côté serveur par Grav (DataUser::isValidUsername) bloque les caractères dangereux pour le système de fichiers, mais pas <, >, " ou ', permettant à un attaquant d'enregistrer un nom d'utilisateur contenant une charge utile HTML. Lorsqu'un administrateur consulte une interface utilisateur qui affiche le nom d'utilisateur via tHtml()—comme l'invite de confirmation de désactivation forcée du facteur double (two-factor) ou la notification « page verrouillée » dans l'éditeur—la charge s'exécute au sein de sa session authentifiée. Corrigé dans la version 2.0.21.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.