Concrete CMS bis 8.5.13/9.2.2 Layout Preset Name Cross Site Scripting

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
2.3$0-$5k0.00

Es wurde eine problematische Schwachstelle in Concrete CMS bis 8.5.13/9.2.2 (Content Management System) entdeckt. Es geht dabei um ein unbekannter Teil. Mittels dem Manipulieren des Arguments Layout Preset Name mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-79 vorgenommen. Es ist nicht genau bekannt, welche Auswirkungen ein erfolgreicher Angriff haben wird. CVE fasst zusammen:

Concrete CMS before 8.5.14 and 9 before 9.2.3 is vulnerable to an admin adding a stored XSS payload via the Layout Preset name.

Die Schwachstelle wurde am 25.12.2023 publik gemacht. Das Advisory kann von documentation.concretecms.org heruntergeladen werden. Die Verwundbarkeit wird seit dem 17.11.2023 unter CVE-2023-48650 geführt. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1059.007.

Ein Upgrade auf die Version 8.5.14 oder 9.2.3 vermag dieses Problem zu beheben. Eine neue Version kann von documentation.concretecms.org bezogen werden.

Die Einträge VDB-248989, VDB-249008 und VDB-249014 sind sehr ähnlich.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔒
VulDB CVSS-BT Score: 🔒
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 2.4
VulDB Meta Temp Score: 2.3

VulDB Base Score: 2.4
VulDB Temp Score: 2.3
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-79 / CWE-74 / CWE-707
CAPEC: 🔒
ATT&CK: 🔒

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: CMS 8.5.14/9.2.3

Timelineinfo

17.11.2023 CVE zugewiesen
25.12.2023 +38 Tage Advisory veröffentlicht
25.12.2023 +0 Tage VulDB Eintrag erstellt
25.12.2023 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Advisory: documentation.concretecms.org
Status: Bestätigt

CVE: CVE-2023-48650 (🔒)
Siehe auch: 🔒

Eintraginfo

Erstellt: 25.12.2023 22:25
Anpassungen: 25.12.2023 22:25 (42)
Komplett: 🔍
Cache ID: 3:E13:103

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!