CVE-2026-71236

Nome do Software Vulnerável e Versões Afetadas Grocy (versões afetadas não especificadas)

Description Ocorre Cross-Site Scripting (XSS) armazenado devido a um problema no analisador de corpo de requisição da API em controllers/Api/BaseApiController.php na função GetParsedAndFilteredRequestBody(). O sistema purifica os valores dos campos recebidos usando o HTMLPurifier, mas subsequentemente reverte a codificação de entidades HTML, substituindo <, > e & por <, > e &. Esse processo reconstrói tags HTML e scripts ativos que haviam sido neutralizados, permitindo que scripts maliciosos sejam armazenados em campos graváveis via API, como produtos, receitas, estoque, usuários e tarefas, que são então executados quando renderizados sem nova sanitização.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.