🇰🇷 한글 설명
Grav의 shortcode-core 속성 핸들러에 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. XSS 탐지 로직이 리터럴 꺾쇠괄호가 포함된 페이로드만 검사하여 shortcode 매개변수를 통한 우회가 가능합니다. admin.pages 권한을 가진 공격자는 관리자를 포함한 모든 열람자의 브라우저에서 실행되는 악성 자바스크립트를 주입할 수 있습니다.
💡 쉬운 설명
Grav 웹사이트에서 특정 입력값을 통해 악성 스크립트를 숨겨 저장할 수 있는 보안 결함입니다. 이 스크립트가 페이지를 보는 사람들의 브라우저에서 실행되어 관리자 세션을 탈취당할 수 있습니다.
🇺🇸 원문 (English)
Grav contains a stored cross-site scripting vulnerability in shortcode-core attribute handlers where the XSS detection scan only matches payloads containing literal angle brackets, allowing shortcode parameters to bypass validation. Attackers with admin.pages permission can inject malicious JavaScript through shortcode attributes that execute in any viewer's browser, including administrators, enabling session hijacking via admin nonce theft.
📍 영향받는 시스템
Grav CMS (shortcode-core 취약 버전, 패치 버전 적용 전 전체)
⚔️ 공격 벡터
admin.pages 권한을 가진 사용자가 shortcode 속성에 꺾쇠괄호 없는 악성 JavaScript를 저장하여 관리자 브라우저에서 실행시킴
🛡️ 대응 방법
Grav 및 shortcode-core를 취약점 수정 버전으로 업데이트하고, 관리자 권한 부여를 최소화하세요.
🔧 검증 코드
출력된 Grav 버전을 공식 릴리스 노트의 CVE-2026-64628 수정 버전과 비교하여, 현재 버전이 같거나 낮으면 취약하고 높으면 패치된 것입니다.
grep -rn "version" $(find / -path '*/grav/system/defines.php' 2>/dev/null | head -1) 2>/dev/null | grep -i grav