PT-2026-39296 · Grav · Grav Admin Plugin

Vdh1612 · Publicado 2026-05-08 · Atualizado 2026-05-11 · CVE-2026-44737

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.2

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:A/VC:L/VI:L/VA:N/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas grav-plugin-admin versões anteriores a 1.10.49.5

Descrição A aplicação não valida nem sanitiza adequadamente a entrada do usuário no parâmetro data[header][title]. Isso permite que atacantes criem uma URL maliciosa contendo um payload de Cross-Site Scripting (XSS). Quando acessada, o script injetado é refletido na resposta HTTP e executado no contexto da sessão do navegador da vítima. Este problema afeta o endpoint '/admin/pages/[page]'.

Recomendações Atualize para a versão 1.10.49.5.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-44737

GHSA-FMG2-F5R9-24QC

Produtos afetados

Grav Admin Plugin

Referências · 6

• 🔥 https://github.com/getgrav/grav/security/advisories/GHSA-fmg2-f5r9-24qc · Exploit
• https://github.com/getgrav/grav · Nota
• https://github.com/getgrav/grav-plugin-admin/commit/f67cc18e81d8767bb43d29ee6422c55ed0427803 · Nota
• https://osv.dev/vulnerability/GHSA-fmg2-f5r9-24qc · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44737 · Nota de Segurança
• https://twitter.com/CVEnew/status/2053932460472496240 · Publicação no Twitter