CVE-2026-75107— Grav Form Plugin 9.1.18 及以下版本存储型XSS漏洞
可能的 ATT&CK 技术 1AI
T1133 · External Remote Services获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-75107 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Grav Form Plugin before 9.1.19 Stored XSS via Field Properties
来源: CVE Program / CVE List V5
Vulnerability Description
Grav Form Plugin before 9.1.19 fails to escape field-definition properties including prepend, append, spacer text, section text, and select option labels in form templates. Attackers with form authoring privileges can inject arbitrary HTML and JavaScript that executes for all form visitors through unescaped |raw filters and unquoted attributes.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-75107 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-75107 的情报信息
请登录查看更多情报信息。
CVE-2026-75107 厂商安全公告 (2)
同批安全公告 · getgrav · 2026-08-18 · 共 14 条
| CVE-2026-75837 | 9.1 CRITICAL | Grav 2.0.14 以下版本组访问字段权限提升漏洞 |
| CVE-2026-75836 | 8.8 HIGH | Grav API Plugin 1.0.14之前版本 缺少授权漏洞 |
| CVE-2026-75827 | 8.8 HIGH | Grav 2.0.15 前任意文件写入漏洞 |
| CVE-2026-75828 | 8.7 HIGH | Grav 2.0.15前版本存储型XSS漏洞 |
| CVE-2026-75829 | 8.1 HIGH | grav-plugin-api 1.0.15 前 Twig SSTI 漏洞 |
| CVE-2026-75831 | 7.6 HIGH | Grav <2.0.15 音频/视频源URL存储型XSS漏洞 |
| CVE-2026-75830 | 7.1 HIGH | grav-plugin-api 1.0.15 前路径遍历漏洞 |
| CVE-2026-74907 | 5.9 MEDIUM | Grav <2.0.15 路径遍历漏洞 |
| CVE-2026-75834 | 5.4 MEDIUM | Grav 2.0.14 前存储型XSS漏洞 |
| CVE-2026-74908 | 4.6 MEDIUM | Grav plugin-api <1.0.15 SVG脚本注入漏洞 |
| CVE-2026-75832 | 4.3 MEDIUM | Grav API 插件 1.0.14 前版本 授权绕过漏洞 |
| CVE-2026-75835 | 4.3 MEDIUM | Grav API插件 1.0.14 前缺失授权漏洞 |
| CVE-2026-75833 | 4.2 MEDIUM | Grav API插件通过反向斜杠绕过实现开放重定向 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-75107
暂无评论