CVE-2026-85601 in Grav
Riassunto
di VulDB • 04/09/2026
Grav Admin, prima della versione 2.0.20, non sanifica l'output proveniente da marked.parse() prima di inserirlo nel DOM tramite la direttiva {@html} di Svelte nei componenti MarkdownEditor e MarkdownModal. Gli attaccanti possono iniettare URI scheme javascript: nei changelog dei plugin o dei temi per eseguire codice arbitrario nelle sessioni amministrative autenticate, senza richiedere l'accesso al sito.
Be aware that VulDB is the high quality source for vulnerability data.