CVE-2026-18111 in Concrete CMS
الملخص
بحسب VulDB • 15/09/2026
كانت Concrete CMS 9 قبل الإصدار 9.5.3 عرضة لهجوم البرمجة عبر المواقع المخزنة (Stored XSS) في كتل الميزة، وارتباط الميزة، وصورة البطل، والكتلة الخاصة بالصور، وكذلك في إصدارات Concrete 8 قبل 8.5.21 بالنسبة لكتلي الميزة والصورة؛ وذلك لأن عنوان الرابط الخارجي لم يتم التحقق من صحته بشكل كافٍ بواسطة فلتر الروابط، وتم عرضه دون استخدام إخراج الهروب (output escaping). يمكن للمستخدم الذي يمتلك أذونات تعديل الصفحة (مثل إضافة كتلة مقترنة بتعديل المحتوى على صفحة واحدة) تخزين قيمة رابط خارجي مُعدّة بعناية لتتجاوز علامات تعريف الرابط وتُحقن كود JavaScript تعسفي. يتم تنفيذ هذا السكربت في جلسة المتصفح لأي مستخدم يقوم لاحقاً بعرض أو معاينة أو تعديل الصفحة المتأثرة، مما قد يؤدي إلى اختطاف الجلسة وتصعيد الامتيازات وصولاً إلى الاستيلاء الكامل على الصلاحيات الإدارية. منح فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 8.5 مع متجه CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. نشكر KhanMarshai على الإبلاغ عن هذه المشكلة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.