CVE-2026-100673

Grav Data Manager plagini (getgrav/grav-plugin-datamanager) versiya 1.0.1-dən 1.4.4-ə qədər olan versiyalarda, element detalları görünüşündə (admin/templates/partials/item.html.twig) saxlanılan məlumat girişləri Twig-in `raw` filtri tətbiq edilərək, escape edilmədən göstərilir — bəzi hallarda bu proses PHP-nin strip_tags() funksiyasının icazə verilmiş teqləri atributları ilə birlikdə saxlayaraq yan keçdiyi striptags('<br>') çağırışından sonra baş verir. Göndərdiyi məlumatlar user/data qovluğuna yadda saxlanılan ön tərəf formasını dolduran autentifikasiya olunmamış ziyarətçi, HTML payload yerləşdirə bilər. Bu payload daha sonra həmin girişi klassik admin panelində açan administratorun sessiyasında və mənşəyində (origin), həmin administratorun imtiyazları və CSRF tokeni ilə JavaScript kimi icra olunur. İcraetmə siyahı dəyərləri üçün (məsələn, checkbox və ya çoxlu seçim sahələri) əlavə qarşılıqlı əlaqə olmadan, adi mətn sahələri üçün isə kursoru üzərinə gətirdikdə baş verir. Grav 2.0 Admin Next interfeysindən istifadə edən saytlar buna təsir etmir, çünki həmin interfeys eyni məlumatları düzgün şəkildə escape edən ayrı bir kod yolu vasitəsilə göstərir. Problem Data Manager 1.4.5 versiyasında düzəldilib.