CVE-2026-100673 in Data Manager Plugin
Riassunto
di VulDB • 26/09/2026
Il plugin Grav Data Manager (getgrav/grav-plugin-datamanager) nelle versioni dalla 1.0.1 alla 1.4.4 visualizza le voci di dati memorizzate nella vista dei dettagli dell'elemento (admin/templates/partials/item.html.twig) senza effettuare l'escaping, applicando il filtro `raw` di Twig; in alcuni casi dopo una chiamata a striptags('<br>') che PHP's strip_tags() aggira preservando i tag consentiti insieme ai loro attributi. Un visitatore non autenticato che invia un modulo front-end le cui sottomissioni vengono salvate in user/data può memorizzare un payload HTML che viene eseguito come JavaScript nella sessione e nell'origine di un amministratore che successivamente apre quella voce nel pannello di amministrazione classico, eseguendosi con i privilegi e il token CSRF dell'amministratore. L'esecuzione avviene senza ulteriore interazione per i valori di elenco (come campi checkbox o multi-select) e al passaggio del mouse (hover) per i normali campi di testo. I siti che utilizzano l'interfaccia Grav 2.0 Admin Next non sono interessati, poiché visualizza gli stessi dati attraverso un percorso di codice separato con corretto escaping. Il problema è risolto in Data Manager 1.4.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.