CVE-2026-42841
Açıklama
Grav dosya tabanlı bir Web platformudur. 2.0.0-beta.2 sürümünden önce, sayfa düzenleme izinlerine sahip kimliği doğrulanmış bir kullanıcı, Grav'ın Markdown medya eylem sözdizimi aracılığıyla işlenen görüntü HTML'sine yürütülebilir bir JavaScript olay yakalayıcı özniteliği enjekte edebilir. Sorun, Markdown görüntü sorgu parametrelerinin çağrılabilir medya eylemlerine dönüştürülmesinden kaynaklanmaktadır. Genel attribute() medya yöntemine bu şekilde erişilebilmekte ve bu durum bir editörün oluşturulan görüntü öğesi üzerinde rastgele bir HTML öznitelik adı ve değeri belirlemesine olanak tanımaktadır. Bu güvenlik açığı 2.0.0-beta.2 sürümünde giderilmiştir.
Nasıl düzeltilir
- getgrav/grav2.0.0-beta.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | v ≤ 1.8.0, 2.0.0 | — |
| getgrav/gravPackagist | v < 2.0.0-beta.2 | 2.0.0-beta.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.