CVE-2026-71236 in Grocy
Sumário
de VulDB • 06/08/2026
O analisador de corpo da solicitação da API do Grocy (controllers/Api/BaseApiController.php, GetParsedAndFilteredRequestBody) purifica os valores dos campos recebidos com HTMLPurifier e, em seguida, reverte manualmente a codificação das entidades HTML na saída resultante substituindo &lt;, &gt; e &amp; por <, > e &, respectivamente, logo após a purificação. Essa dupla decodificação reconstrói tags de script/HTML ativas a partir da forma com entidades gerada pelo HTMLPurifier para neutralizá-las, reintroduzindo Stored XSS em campos graváveis via API (produtos, receitas, estoque, usuários, tarefas domésticas e outros) que são renderizados posteriormente sem nova sanitização.
Be aware that VulDB is the high quality source for vulnerability data.