CVE-2025-46199

XSS umożliwiający wykonanie kodu w Getgrav Grav (≤ 1.7.48)

CVSS 9.8v3.1pub. 2025-07-25upd. 2025-08-15

Podatność typu Cross-Site Scripting (XSS) w systemie zarządzania treścią Grav w wersji 1.7.48 i wcześniejszych pozwala atakującemu na wykonanie dowolnego kodu. Krytyczny poziom oceny CVSS (9.8) wynika z braku wymagań co do uwierzytelnienia oraz możliwości zdalnego wykorzystania.

▸ Pokaż oryginał (EN)

Cross Site Scripting vulnerability in grav v.1.7.48 and before allows an attacker to execute arbitrary code via a crafted script to the form fields

🤖 Analiza AI

Jak działa

Atakujący wprowadza specjalnie spreparowany skrypt do pól formularzy dostępnych w aplikacji Grav. Brak odpowiedniej walidacji lub sanityzacji danych wejściowych powoduje, że złośliwy kod jest przechowywany lub odzwierciedlany, a następnie wykonywany w kontekście przeglądarki ofiary. Mechanizm ten jest klasyfikowany jako CWE-79 (nieprawidłowa neutralizacja danych wejściowych na stronach WWW).

Skutki

Atakujący może wykonać dowolny kod JavaScript w sesji przeglądarki ofiary, co może prowadzić do przejęcia kont użytkowników, kradzieży danych uwierzytelniających oraz dalszego naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Grav do wersji wyższej niż 1.7.48. Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się weryfikację i wzmocnienie walidacji danych wejściowych w polach formularzy.

Kogo dotyczy

Getgrav Grav w wersji 1.7.48 i wszystkich wcześniejszych wersjach

Uwagi

Pomimo krytycznego wyniku CVSS (9.8), podatność jest sklasyfikowana jako XSS (CWE-79), a wektor RCE wynika z kontekstu wykonania skryptu po stronie klienta. Szczegółowy opis techniczny dostępny jest w referencjach zewnętrznych wskazanych przez odkrywcę.