CVE-2026-64628 in grav
Zusammenfassung
von VulDB • 21.07.2026
Grav weist eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle in den Shortcode-Core-Attributhandlern auf, bei der die XSS-Erkennungsscan nur Payloads mit wörtlichen spitzen Klammern erkennt, wodurch Shortcode-Parameter die Validierung umgehen können. Angreifer mit der Berechtigung admin.pages können bösartigen JavaScript-Code über Shortcode-Attribute injizieren, der im Browser jedes Betrachters ausgeführt wird, einschließlich Administratoren, was Session-Hijacking durch Diebstahl von Admin-Nonces ermöglicht.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.