CVE-2026-61453

Nome do Software Vulnerável e Versões Afetadas Grav versão 2.0.0

Description Existe um problema onde o validador de XSS blueprint Security::detectXss() processa o conteúdo bruto da página antes do processamento do Twig. Se o processamento de conteúdo Twig estiver habilitado através de twig content.process enabled: true, um usuário com permissões de API de escrita de página pode burlar o validador usando o operador de concatenação de strings do Twig (~) para criar dinamicamente manipuladores de eventos, tags perigosas ou protocolos. Como o validador vê apenas a expressão Twig e não a saída renderizada final, JavaScript arbitrário pode ser executado nos navegadores dos visitantes quando o conteúdo é renderizado via {{ page.content|raw }}.

Recommendations Atualize o Grav para a versão 2.0.1. Desative a configuração twig content.process enabled para impedir o processamento de conteúdo Twig.