CVE-2026-64851

Nome do Software Vulnerável e Versões Afetadas Grav Shortcode Core versões anteriores a 6.2.2

Descrição Ocorre cross-site scripting (XSS) armazenado quando o plugin processa a sintaxe de shortcode através de Security::detectXss() sem a codificação adequada. Especificamente, o arquivo ColorShortcode.php e manipuladores de atributos relacionados concatenam parâmetros controlados por um invasor diretamente no HTML. Uma conta com a permissão admin.pages pode manipular o atributo gerado para adicionar um manipulador de eventos, permitindo a execução de scripts maliciosos para visitantes ou administradores que visualizem a página.

Recomendações Atualizar para a versão 6.2.2.