CVE-2025-66311

ŚrednieCVSS 5.4

Opublikowano: 01/12/2025(UTC)Zaktualizowano: 26/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka admin dla Grav (interfejs HTML do konfiguracji i edycji stron) zawiera podatność Stored XSS w punkcie końcowym /admin/pages/[page]. Atakujący może wstrzyknąć złośliwe skrypty do parametrów data[header][metadata], data[header][taxonomy][category] oraz data[header][taxonomy][tag], które są zapisywane w frontmatter strony i wykonywane przy każdym jej wyświetleniu w panelu administracyjnym. Podatność naprawiono w wersji 1.11.0-beta.1.

Ocena ryzyka

Uwierzytelniony atakujący może trwale wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce administratora, umożliwiając kradzież sesji lub przejęcie konta uprzywilejowanego. Może to prowadzić do pełnej kompromitacji panelu administracyjnego Grav.

Rekomendacja

Zaktualizuj wtyczkę admin dla Grav do wersji 1.11.0-beta.1 lub nowszej. Do czasu aktualizacji ogranicz dostęp do panelu administracyjnego i weryfikuj treści wprowadzane przez użytkowników.

Inne podatności w Grav admin plugin

CVE-2025-66307Średnie
Wtyczka administracyjna dla Grav (do wersji 1.11.0-beta.1) zawiera podatność umożliwiającą enumerację użytkowników i ujawnienie adresów e-mail. Funkcjonalność „Forgot Password” pod adresem /admin/forgot ujawnia informacje o prawidłowych nazwach użytkowników i powiązanych adresach e-mail poprzez różne odpowiedzi serwera. Podatność została naprawiona w wersji 1.11.0-beta.1.

Oryginalny opis (angielski, źródło NVD)

This admin plugin for Grav is an HTML user interface that provides a convenient way to configure Grav and easily create and modify pages. Prior to 1.11.0-beta.1, a Stored Cross-Site Scripting (XSS) vulnerability was identified in the /admin/pages/[page] endpoint of the Grav application. This vulnerability allows attackers to inject malicious scripts into the data[header][metadata], data[header][taxonomy][category], and data[header][taxonomy][tag] parameters. These scripts are stored in the page frontmatter and executed automatically whenever the affected page is accessed or rendered in the administrative interface. This vulnerability is fixed in 1.11.0-beta.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS