CVE-2026-100673

Grav Data Manager eklentisinin (getgrav/grav-plugin-datamanager) 1.0.1 ile 1.4.4 arasındaki sürümleri, öğe detay görünümündeki (admin/templates/partials/item.html.twig) kayıtlı veri girişlerini, Twig'in `raw` filtresini uygulayarak kaçış karakterleri olmadan işlemektedir; bazı durumlarda bu işlem, PHP'nin strip_tags() fonksiyonunun izin verilen etiketleri öznitelikleriyle birlikte koruyarak atladığı bir striptags('<br>') çağrısından sonra gerçekleşmektedir. Gönderimleri user/data dizinine kaydedilen bir ön uç formunu dolduran kimliği doğrulanmamış bir ziyaretçi, daha sonra bu girişi klasik yönetici panelinde açan bir yöneticinin oturumunda ve kaynağında JavaScript olarak çalışan bir HTML yükü depolayabilir; bu işlem söz konusu yöneticinin ayrıcalıklarıyla ve CSRF belirteciyle çalışır. Çalıştırma işlemi, liste değerleri için (onay kutusu veya çoklu seçim alanları gibi) başka bir etkileşim olmaksızın, standart metin alanları için ise üzerine gelindiğinde (hover) gerçekleşir. Grav 2.0 Admin Next arayüzünü kullanan siteler, aynı verileri doğru şekilde kaçış işlemleri yapan ayrı bir kod yolu üzerinden işlediği için etkilenmemektedir. Sorun Data Manager 1.4.5 sürümünde düzeltilmiştir.