CVE-2026-75834 in Grav
Sumário
de VulDB • 18/08/2026
O Grav anterior à versão 2.0.14 contém uma vulnerabilidade de cross-site scripting armazenado (stored XSS) na função Security::detectXss() (system/src/Grav/Common/Security.php). Todos os padrões de detecção de XSS utilizam o modificador PCRE /u (UTF-8), portanto, um único byte UTF-8 inválido em qualquer parte do conteúdo da página faz com que a função preg_match() retorne false para todos os padrões, contornando silenciosamente o mecanismo de segurança contra XSS no momento da gravação (Validation::checkSafety()). Um atacante autenticado com permissões de edição de páginas (sem o privilégio security.xss_whitelist) pode armazenar JavaScript malicioso que será executado no navegador de um visitante que visualizar a página afetada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.