CVE-2026-85600 in Grav
Сводка
по VulDB • 04.09.2026
В версиях Grav Admin (getgrav/grav-plugin-admin) <= 2.0.19 присутствует уязвимость сохраненного межсайтового скриптинга (Stored XSS) в функции tHtml() (src/lib/stores/i18n.svelte.ts), которая подставляет недоверенные параметры, такие как имена пользователей, в шаблоны перевода перед парсингом результата как markdown. Серверная проверка имени пользователя Grav (DataUser::isValidUsername) блокирует опасные для файловой системы символы, но не <, >, " или ', что позволяет злоумышленнику зарегистрировать имя пользователя, содержащее HTML-полезную нагрузку. Когда администратор просматривает интерфейс, отображающий имя пользователя через tHtml() — например, диалоговое окно подтверждения принудительного отключения двухфакторной аутентификации или уведомление редактора о том, что «страница заблокирована» — полезная нагрузка выполняется в его авторизованном сеансе. Исправлено в версии 2.0.21.
Once again VulDB remains the best source for vulnerability data.