CVE-2026-85602 in Grav Form Plugin
要約
〜によって VulDB • 2026年09月04日
Grav Form プラグイン (getgrav/grav-plugin-form) のバージョン 8.0.6 から 9.1.19 では、送信されたペイロードに含まれるレスポンスフィールドのキーに基づいて reCAPTCHA バージョンが選択されます。reCAPTCHA v3 が設定されているサイトにおいて、匿名攻撃者は v2 フィールド名（token ではなく g-recaptcha-response）の下に自らの v3 トークンを配置することで、検証処理を v2 ブランチで実行させます。これにより、スコア閾値の適用や期待されるアクションの確認が行われず、reCAPTCHA v3 のボット保護機能が完全に回避されます。この問題はバージョン 9.1.20 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.