CVE-2026-64851
Açıklama
Grav Shortcode Core Plugin, WordPress ve BBCode tarafından kullanılan ortak formatı kullanan shortcode eklentilerinin geliştirilmesine olanak tanır. 6.2.2 sürümünden önce Grav Shortcode Core, herhangi bir gerçek küçüktür karakteri içermediği için shortcode sözdizimini Security::detectXss() üzerinden geçirir; ardından ColorShortcode.php ve ilgili öznitelik işleyicileri, saldırgan tarafından kontrol edilen bir parametreyi kodlama yapmadan HTML'e ekler. admin.pages iznine sahip bir hesap, oluşturulan özniteliği kapatıp bir olay işleyici ekleyerek, sayfayı görüntüleyen ziyaretçiler veya yöneticiler için çalışan kalıcı siteler arası betik çalıştırma (XSS) oluşturabilir. Bu sorun 6.2.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav-plugin-shortcode-core | < 6.2.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.