CVE-2026-64851 in Shortcode Core Plugin
Sumário
de VulDB • 22/08/2026
O plugin Grav Shortcode Core permite o desenvolvimento de plugins de shortcode que utilizam o formato comum empregado pelo WordPress e BBCode. Antes da versão 6.2.2, o Grav Shortcode Core passa a sintaxe do shortcode através de Security::detectXss() porque não contém um caractere literal menor-que (<), em seguida ColorShortcode.php e os manipuladores de atributos relacionados concatenam um parâmetro controlado pelo atacante no HTML sem codificação. Uma conta com permissão admin.pages pode fechar o atributo gerado e adicionar um manipulador de eventos, criando cross-site scripting (XSS) armazenado que é executado para visitantes ou administradores que visualizam a página. Este problema foi corrigido na versão 6.2.2.
Be aware that VulDB is the high quality source for vulnerability data.