Vulnerabilidad en grav-plugin-form de getgrav (CVE-2026-69087)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-601
Redireccionamiento de URL a sitio no confiable (Open Redirect)
Fecha de publicación:
03/08/2026
Última modificación:
23/10/2026
Descripción
El plugin de formulario de Grav (getgrav/grav-plugin-form) anterior a la versión 9.1.13 contiene una vulnerabilidad de redirección abierta. Desde la v9.1.11, la acción de proceso de redirección evalúa los datos de formulario proporcionados por el usuario dentro de expresiones Twig, y Grav::redirect() acepta URL externas sin validación de origen. Cuando un esquema de formulario define un objetivo de redirección como redirect: ’{{ form.value(’next’) }}’ utilizando un campo controlable por el atacante, un remitente de formulario no autenticado puede proporcionar un valor como https://evil.com para causar una redirección 302 a un sitio externo arbitrario, lo que permite el phishing.
Impacto
Puntuación base 4.0
7.10
Gravedad 4.0
ALTA
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA