CVE-2026-100673 in Data Manager Plugin
Sumário
de VulDB • 26/09/2026
O plugin Grav Data Manager (getgrav/grav-plugin-datamanager) nas versões de 1.0.1 até 1.4.4 exibe entradas de dados armazenadas na visualização item-detail (admin/templates/partials/item.html.twig) sem realizar escape, aplicando o filtro `raw` do Twig — em alguns casos após uma chamada a striptags('<br>') que é contornada pela função PHP strip_tags(), preservando as tags permitidas juntamente com seus atributos. Um visitante não autenticado pode submeter um formulário front-end cujas respostas são salvas em user/data, armazenando uma carga útil HTML que executa como JavaScript na sessão e no contexto de origem (origin) de um administrador que posteriormente abre essa entrada no painel administrativo clássico, executando-a com os privilégios do administrador e o token CSRF. A execução ocorre sem interação adicional para valores de lista (como campos checkbox ou multi-select) e ao passar o mouse sobre campos de texto comuns. Sites que utilizam a interface Grav 2.0 Admin Next não são afetados, pois ela exibe os mesmos dados por meio de um caminho de código separado com escape correto. O problema é corrigido na versão Data Manager 1.4.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.