PT-2026-37278 · Grav · Grav

Kc1Zs4 · Publicado 2026-05-05 · Atualizado 2026-05-27 · CVE-2026-42612

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.5

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Grav versões anteriores a 2.0.0-beta.2

Descrição Um problema de Cross-Site Scripting (XSS) armazenado permite que contas de nível de publicador executem JavaScript arbitrário. O problema é causado por um bypass de blacklist na função detectXss(), que não consegue identificar corretamente atributos de eventos HTML (como eventos on*) quando estes são construídos sem aspas. Isso permite que um invasor ignore o filtro e execute scripts maliciosos no navegador de qualquer usuário, incluindo administradores, que visualize o conteúdo comprometido, podendo levar ao sequestro de sessão ou ações não autorizadas.

Recomendações Atualize para a versão 2.0.0-beta.2. Como medida paliativa temporária, restrinja as permissões de contas de nível de publicador para minimizar o risco de injeção de conteúdo malicioso.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-42612

GHSA-9695-8FR9-HW5Q

Produtos afetados

Grav

Referências · 8

• 🔥 https://github.com/getgrav/grav/security/advisories/GHSA-9695-8fr9-hw5q · Exploit
• https://github.com/getgrav/grav/commit/5a12f9be8314682c8713e569e330f11805d0a663 · Correção
• https://github.com/getgrav/grav · Nota
• https://twitter.com/VulmonFeeds/status/2053925875607802133 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-9695-8fr9-hw5q · Aviso do Fabricante
• https://twitter.com/DFIR_Lab/status/2059440778619900271 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2053932465237168448 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42612 · Nota de Segurança