PT-2026-72001
CVE-2026-72832
·
تاريخ النشر
2026-08-14
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Grav من 1.5.2 إلى 2.0.12
الوصف
توجد مشكلة في البرمجة النصية عبر المواقع المخزنة في الدالة
Security::detectXss() الموجودة في system/src/Grav/Common/Security.php. يستخدم فحص معالج الأحداث تعبيرًا عاديًا لا يأخذ في الاعتبار الحرف > عندما يظهر داخل قيمة سمة محاطة بعلامات اقتباس. يسمح هذا التباين بين أداة الكشف والمتصفح لمحرر الصفحة الذي لا يمتلك امتيازات admin.super بحفظ محتوى ضار، مثل <img src=x title=">" onerror=alert(document.domain)>. يتم تخزين الحمولة ثم تنفيذها لاحقًا في مصدر الموقع عند عرضها من قبل أي زائر، بما في ذلك المستخدمون غير المصادق عليهم.التوصيات
قم بالتحديث إلى الإصدار 2.0.13.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾