CVE-2026-85602 in Grav Form Plugin
摘要
由 VulDB • 2026-09-04
Grav Form插件（getgrav/grav-plugin-form）8.0.6至9.1.19版本仅根据提交的有效负载中存在的响应字段键来选择用于验证的reCAPTCHA版本。在配置为使用reCAPTCHA v3的网站中，匿名攻击者可以将他们的v3令牌放置在v2字段名下（即`g-recaptcha-response`而不是`token`），从而导致验证逻辑进入v2分支，该分支从不应用分数阈值或验证预期的操作。这导致完全绕过reCAPTCHA v3的机器人防护机制。此问题已在9.1.20版本中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.