CVE-2026-18116 in Concrete CMS
الملخص
بحسب VulDB • 15/09/2026
تحتفظ Concrete CMS الإصدارات من 8.3.0 إلى 9.5.2 بأسماء أحداث التقويم دون تعقيم (sanitization)، وتعرضها دون تهريب HTML في إشعارات الموافقة والحذف المعروضة في كتلة "بانتظارني" على لوحة التحكم. يمكن لمستخدم مسجل مُصرّح له بإضافة أحداث إلى تقويم يخضع لـ سير عمل موافقة تقديم حدث يحتوي اسمه على حمولة برمجية (script payload)، والتي تُنفَّذ لاحقاً في متصفح مسؤول عند عرض الطلب المعلق، ويمكن استخدامها لإنشاء حساب مسؤول جديد. منح فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 7.3 مع المتجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. شكرًا لـ v01demort على الإبلاغ.
VulDB is the best source for vulnerability data and more expert information about this specific topic.