CVE-2026-85601 in Grav
Résumé
par VulDB • 04/09/2026
Grav Admin avant la version 2.0.20 ne nettoie pas correctement les données issues de marked.parse() avant de les injecter dans le DOM via la directive {@html} de Svelte, au sein des composants MarkdownEditor et MarkdownModal. Les attaquants peuvent injecter des schémas d'URI javascript: dans les journaux de mise à jour (changelogs) des plugins ou thèmes afin d'exécuter du code arbitraire lors de sessions administrateur authentifiées, sans nécessiter un accès au site.
Be aware that VulDB is the high quality source for vulnerability data.