PT-2026-37280 · Grav · Grav

K-Czaplicki + 1 · Publicado 2026-05-05 · Atualizado 2026-05-11 · CVE-2026-42841

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Grav versões anteriores a 2.0.0-beta.2

Descrição Um usuário autenticado com permissões de edição de página pode realizar Cross-Site Scripting (XSS) armazenado ao injetar um atributo de manipulador de eventos JavaScript executável no HTML de imagens renderizadas. Isso ocorre porque os parâmetros de consulta de imagem do Markdown são convertidos em ações de mídia chamáveis, permitindo o acesso ao método de mídia público attribute(). Um invasor pode usar isso para definir nomes e valores de atributos HTML arbitrários em elementos de imagem gerados. Por exemplo, o uso de um parâmetro de consulta como attribute=onload,alert(document.domain) resulta em uma tag <img> com um manipulador onload executável. Em ambientes multiusuário, um editor com menos privilégios pode visar administradores ou revisores que visualizem o conteúdo afetado.

Recomendações Atualize o Grav para a versão 2.0.0-beta.2 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-42841

GHSA-R7FX-8G49-7HHR

Produtos afetados

Grav

Referências · 8

• 🔥 https://github.com/getgrav/grav/security/advisories/GHSA-r7fx-8g49-7hhr · Exploit
• https://github.com/getgrav/grav/commit/5a12f9be8314682c8713e569e330f11805d0a663 · Correção
• https://github.com/getgrav/grav · Nota
• https://twitter.com/infoflowcloud/status/2053933438088978525 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2053930995045343524 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2053932474909241761 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42841 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-r7fx-8g49-7hhr · Aviso do Fabricante