CVE-2026-72821
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Grav Form przed wersją 9.1.15 zawiera podatność na trwały atak XSS w etykietach opcji pól radio i przełączników, renderowanych z użyciem filtra Twig |raw. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać kod HTML i skrypty w etykiety opcji, które wykonują się w przeglądarkach odwiedzających i administratorów przeglądających formularz.
Ocena ryzyka
Ryzyko obejmuje kradzież danych, przejęcie sesji administratora i rozprzestrzenianie złośliwego kodu wśród użytkowników, co może prowadzić do naruszenia integralności systemu i zaufania.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Grav Form do wersji 9.1.15 lub nowszej oraz przegląd istniejących formularzy pod kątem podejrzanych etykiet opcji.
Oryginalny opis (angielski, źródło NVD)
Grav Form plugin versions before 9.1.15 contain a stored cross-site scripting vulnerability in radio and toggle field option labels rendered with the Twig |raw filter. Attackers with form authoring permissions can inject HTML and script payloads in option labels that execute in the browsers of visitors and administrators viewing the form.