CVE-2026-85601

ŚrednieCVSS 5.4

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Grav Admin przed wersją 2.0.20 nie sanityzuje danych wyjściowych z marked.parse() przed wstrzyknięciem ich do DOM przez dyrektywę {@html} w komponentach MarkdownEditor i MarkdownModal. Atakujący mogą wstrzyknąć schematy javascript: URI w dziennikach zmian wtyczek lub motywów, aby wykonać dowolny kod w sesjach uwierzytelnionych administratorów bez wymaganego dostępu do strony.

Ocena ryzyka

Ryzyko wykonania złośliwego kodu w kontekście sesji administratora, co może prowadzić do przejęcia panelu administracyjnego i kompromitacji całej instalacji Grav.

Rekomendacja

Zaleca się aktualizację Grav Admin do wersji 2.0.20 lub nowszej oraz zachowanie ostrożności przy instalowaniu wtyczek i motywów z niepewnych źródeł.

Inne podatności w Grav Admin

CVE-2026-85600Średnie
Grav Admin (getgrav/grav-plugin-admin2) w wersjach do 2.0.19 zawiera podatność na trwały XSS w funkcji tHtml(), która podstawia niezaufane parametry, takie jak nazwy użytkowników, do szablonów tłumaczeń przed parsowaniem wyniku jako markdown. Walidacja nazw użytkownika po stronie serwera nie blokuje znaków <, >, " czy ', co pozwala atakującemu zarejestrować nazwę zawierającą kod HTML. Gdy administrator przegląda interfejs renderujący nazwę przez tHtml(), kod wykonuje się w jego sesji. Naprawiono w wersji 2.0.21.

Oryginalny opis (angielski, źródło NVD)

Grav Admin before 2.0.20 fails to sanitize output from marked.parse() before injecting it into the DOM via Svelte's {@html} directive in MarkdownEditor and MarkdownModal components. Attackers can inject javascript: URI schemes in plugin or theme changelogs to execute arbitrary code in authenticated admin sessions without requiring site access.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS