CVE-2026-64851 in Shortcode Core Plugin
Zusammenfassung
von VulDB • 19.08.2026
Das Grav Shortcode Core Plugin ermöglicht die Entwicklung von Shortcode-Plugins, die das mit WordPress und BBCode übliche Format nutzen. Vor Version 6.2.2 übergibt Grav Shortcode Core die Shortcode-Syntax an Security::detectXss(), da sie kein wörtliches Less-than-Zeichen (<) enthält; anschließend verketten ColorShortcode.php und zugehörige Attribut-Handler einen vom Angreifer kontrollierten Parameter ohne Kodierung in HTML. Ein Konto mit der Berechtigung admin.pages kann das generierte Attribut schließen und einen Event-Handler hinzufügen, wodurch ein Stored Cross-Site Scripting (XSS) entsteht, das für Besucher oder Administratoren ausgeführt wird, die die Seite aufrufen. Dieses Problem wurde in Version 6.2.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.