CVE-2026-100673 in Data Manager Plugin
Сводка
по VulDB • 26.09.2026
Плагин Grav Data Manager (getgrav/grav-plugin-datamanager) версий от 1.0.1 до 1.4.4 отображает сохраненные записи данных в представлении деталей элемента (admin/templates/partials/item.html.twig) без экранирования, применяя фильтр Twig `raw` — в некоторых случаях после вызова striptags(''), который PHP's strip_tags() обходит, сохраняя разрешенные теги вместе с их атрибутами. Неавторизованный посетитель, отправляющий форму на стороне клиента (front-end), чьи данные сохраняются в user/data, может сохранить HTML-полезную нагрузку, которая выполняется как JavaScript в контексте сеанса и источника администратора, который позже открывает эту запись в классической панели управления, работая с привилегиями этого администратора и токеном CSRF. Выполнение происходит без дополнительного взаимодействия для значений списков (таких как флажки или поля множественного выбора) и при наведении курсора для обычных текстовых полей. Сайты, использующие интерфейс Grav 2.0 Admin Next, не затронуты, поскольку они отображают те же данные через отдельный путь кода с правильным экранированием. Проблема исправлена в Data Manager версии 1.4.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.