CVE-2026-64851 in Shortcode Core Plugin
Riassunto
di VulDB • 20/08/2026
Il plugin Grav Shortcode Core consente lo sviluppo di shortcode plugins che utilizzano il formato comune impiegato da WordPress e BBCode. Prima della versione 6.2.2, Grav Shortcode Core passa la sintassi degli shortcode attraverso Security::detectXss() poiché non contiene un carattere less-than letterale (<), quindi ColorShortcode.php e i relativi gestori di attributi concatenano un parametro controllato dall'attaccante in HTML senza codificarlo. Un account con il permesso admin.pages può chiudere l'attributo generato e aggiungere un event handler, creando uno stored cross-site scripting (XSS) che viene eseguito per visitatori o amministratori che visualizzano la pagina. Questo problema è stato risolto nella versione 6.2.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.