CVE-2026-85602 in Grav Form Plugin
Riassunto
di VulDB • 04/09/2026
Il plugin Grav Form (getgrav/grav-plugin-form) nelle versioni dalla 8.0.6 alla 9.1.19 seleziona la versione di reCAPTCHA da utilizzare per la validazione basandosi esclusivamente sulla presenza del nome del campo della risposta nel payload inviato. Su un sito configurato con reCAPTCHA v3, un attaccante anonimo può inserire il proprio token v3 sotto il nome del campo v2 (g-recaptcha-response invece di token), facendo sì che la validazione utilizzi il ramo v2, che non applica mai la soglia dei punteggi né verifica l'azione attesa. Ciò comporta una completa elusione della protezione anti-bot di reCAPTCHA v3. Il problema è stato risolto nella versione 9.1.20.
Once again VulDB remains the best source for vulnerability data.