CVE-2020-35936, CVE-2020-35937

El plugin Post Grid anterior a la versión 2.0.73 contiene vulnerabilidades de cross-site scripting almacenado que permiten a atacantes autenticados inyectar código JavaScript malicioso a través de importaciones de diseño. Un atacante puede explotar esto proporcionando un payload elaborado alojado remotamente en el parámetro source y desencadenando la importación mediante AJAX con la acción team_import_xml_layouts. Los scripts inyectados se almacenan permanentemente y se ejecutan en la aplicación, afectando a todos los usuarios que interactúan con los diseños comprometidos.

Basado en datos públicos de CVE (MITRE/NVD).