PT-2026-60147
CVE-2026-61453
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-09-16
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Grav الإصدار 2.0.0
الوصف
توجد مشكلة حيث يقوم مدقق مخطط XSS
Security::detectXss() بمعالجة محتوى الصفحة الخام قبل أن تتم معالجة Twig. إذا تم تمكين معالجة محتوى Twig عبر twig content.process enabled: true، فيمكن للمستخدم الذي يمتلك أذونات API لكتابة الصفحة تجاوز المدقق باستخدام عامل ربط السلاسل في Twig (~) لإنشاء معالجات الأحداث أو العلامات الخطرة أو البروتوكولات ديناميكيًا. ونظرًا لأن أداة التحقق لا ترى سوى تعبير Twig ولا ترى الناتج النهائي المعروض، يمكن تنفيذ جافا سكريبت تعسفي في متصفحات الزوار عند عرض المحتوى عبر {{ page.content|raw }}.التوصيات
قم بتحديث Grav إلى الإصدار 2.0.1.
قم بتعطيل الإعداد
twig content.process enabled لمنع معالجة محتوى Twig.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾