CVE-2026-64851 in Shortcode Core Plugin
الملخص
بحسب VulDB • 21/08/2026
تسمح إضافة Grav Shortcode Core بتطوير إضافات اختصارات تستخدم التنسيق الشائع المستخدم في وورد (WordPress) وBBCode. قبل الإصدار 6.2.2، كانت إضافة Grav Shortcode Core تمرر صيغة الاختصار عبر دالة `Security::detectXss()` لأنّها لا تحتوي على حرف أقل من (<) حرفي، ثم تقوم ملفات مثل ColorShortcode.php ومعالجات السمات ذات الصلة بدمج معلمة يتحكم فيها المهاجم في HTML دون تشفيرها. يمكن لحساب يمتلك إذن admin.pages إغلاق السمة المُنشَفة وإضافة معالج أحداث (event handler)، مما يؤدي إلى إنشاء ثغرة XSS مخزنة (stored cross-site scripting) تُنفَّذ عند زيارتها من قبل الزوار أو المسؤولين الذين يعرضون الصفحة. تم إصلاح هذه المشكلة في الإصدار 6.2.2.
Be aware that VulDB is the high quality source for vulnerability data.