Grav CMS 存在跨站脚本（XSS）漏洞 · CVE-2025-65186

漏洞详情

概述

Grav CMS 1.7.49版本存在一个跨站脚本（XSS）漏洞。该漏洞位于CMS的页面编辑器组件中。

受影响版本

• 受影响的版本：<= 1.7.49
• 已修复的版本：暂无

漏洞描述

Grav CMS的页面编辑器允许经过身份验证的用户通过Markdown编辑器编辑页面内容。该编辑器未能对 <script> 标签进行适当的清理（Sanitization），从而导致存储型XSS载荷得以存在。当管理员或用户在管理界面中查看被恶意编辑的页面时，这些恶意脚本便会执行。

技术细节

• 漏洞类型：跨站脚本（XSS）
• CWE ID：CWE-79（在网页生成过程中对输入的不当中和/或“跨站脚本”）
• CVSS v3.1 基础评分：6.1（中危）
• CVSS 向量：AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
  • 攻击向量：网络
  • 攻击复杂度：低
  • 所需权限：无
  • 用户交互：需要
  • 影响范围：改变
  • 机密性影响：低
  • 完整性影响：低
  • 可用性影响：无
• EPSS 分数：0.03% (第8百分位数)

参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2025-65186
• https://github.com/getgrav/grav
• https://github.com/lukehebe/Vulnerability-Disclosures/blob/main/CVE-2025-65186.pdf

时间线

• 由国家漏洞数据库发布：2025年12月2日
• 发布至GitHub Advisory Database：2025年12月2日
• 最后更新：2025年12月3日
• 已审核：2025年12月3日

相关标识

• CVE ID：CVE-2025-65186
• GHSA ID：GHSA-cchq-397m-q2qm

源代码仓库

• getgrav/grav