CVE-2026-71236highCWE-79

CVE-2026-71236: falha de alta gravidade em grocy

Grocy - Stored XSS via HTMLPurifier Output Double-Decode

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Grocy

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.7epss 0.4%
Grocy's API request-body parser (controllers/Api/BaseApiController.php, GetParsedAndFilteredRequestBody) purifies incoming field values with HTMLPurifier, then manually reverses HTML-entity encoding of the resulting output by replacing &amp;lt;, &amp;gt;, and &amp;amp; back to <, >, and & immediately after purification.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Produtos afetados
grocy · grocy
CVEs relacionadas — grocy

No mesmo produto, das mais perigosas para as menos.

CVE-2020-15253HIGHStored XSS in GrocyEPSS 1.2%