| タイトル | Grav CMSのgravにおけるクロスサイトスクリプティングの脆弱性 |
|---|---|
| 概要 | GravはファイルベースのWebプラットフォームです。2.0.0-beta.2より前のバージョンでは、ページ編集権限を持つ認証済みユーザーが、GravのMarkdownメディアアクション構文を通じてレンダリングされた画像のHTMLに実行可能なJavaScriptのイベントハンドラー属性を注入できます。この問題は、Markdownの画像クエリパラメータが呼び出し可能なメディアアクションに変換されることに起因しています。このため、public attribute()メディアメソッドに到達でき、編集者が生成された画像要素に任意のHTML属性名と値を設定できるようになります。この脆弱性は2.0.0-beta.2で修正されました。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月11日0:00 |
| 登録日 | 2026年5月14日10:18 |
| 最終更新日 | 2026年5月14日10:18 |
| CVSS3.0 : 警告 | |
| スコア | 4.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
| Grav CMS |
| grav 1.8.0 およびそれ以前 |
| grav 2.0.0 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月14日] 掲載 |
2026年5月14日10:18 |
| 概要 | Grav is a file-based Web platform. Prior to 2.0.0-beta.2, an authenticated user with page editing permissions can inject an executable JavaScript event-handler attribute into rendered image HTML through Grav's Markdown media action syntax. The issue is caused by Markdown image query parameters being converted into callable media actions. The public attribute() media method can be reached this way, allowing an editor to set an arbitrary HTML attribute name and value on the generated image element. This vulnerability is fixed in 2.0.0-beta.2. |
|---|---|
| 公表日 | 2026年5月12日1:17 |
| 登録日 | 2026年5月12日4:14 |
| 最終更新日 | 2026年5月13日1:16 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:getgrav:grav:*:*:*:*:*:*:*:* | 1.8.0 | ||||
| cpe:2.3:a:getgrav:grav:2.0.0:beta1:*:*:*:*:*:* | |||||