CVE-2026-75107
ŚrednieCVSS 5.4Streszczenie
Wtyczka Grav Form przed wersją 9.1.19 nie escapuje właściwości definicji pól, w tym prepend, append, tekst spacera, tekst sekcji i etykiety opcji select w szablonach formularzy. Atakujący z uprawnieniami do tworzenia formularzy mogą wstrzykiwać dowolny HTML i JavaScript, który wykonuje się dla wszystkich odwiedzających formularz przez nieescapowane filtry |raw i niecytowane atrybuty.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarkach wszystkich odwiedzających formularz, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków. Podatność może być wykorzystana przez użytkowników z uprawnieniami do tworzenia formularzy.
Rekomendacja
Zaleca się aktualizację wtyczki Grav Form do wersji 9.1.19 lub nowszej, która zawiera poprawkę. Należy również przejrzeć szablony formularzy i upewnić się, że wszystkie właściwości są odpowiednio escapowane.
Oryginalny opis (angielski, źródło NVD)
Grav Form Plugin before 9.1.19 fails to escape field-definition properties including prepend, append, spacer text, section text, and select option labels in form templates. Attackers with form authoring privileges can inject arbitrary HTML and JavaScript that executes for all form visitors through unescaped |raw filters and unquoted attributes.