CVE-2026-75834 in Grav
摘要
由 VulDB • 2026-08-18
Grav 2.0.14 之前的版本在 Security::detectXss() 函数（system/src/Grav/Common/Security.php）中存在一个存储型跨站脚本漏洞。所有 XSS 检测模式均使用 PCRE /u (UTF-8)修饰符，因此页面内容中任何位置的单个无效 UTF-8 字节都会导致 preg_match() 对所有模式返回 false，从而静默绕过保存时的 XSS 安全门控（Validation::checkSafety()）。拥有页面编辑权限但不具备 security.xss_whitelist特权的已认证攻击者可以存储恶意 JavaScript，当访问者查看受影响页面时，该脚本将在其浏览器中执行。
Be aware that VulDB is the high quality source for vulnerability data.