CVE-2026-18117 in Concrete CMS
الملخص
بحسب VulDB • 14/09/2026
تواجه Concrete CMS الإصدارات من 9.0.0 حتى 9.5.3 ثغرة XSS مخزنة (Stored XSS) عبر اسم البديل المخصص للصفحة (customAliasName)، وذلك لأن مربع حوار "تعديل البديل" كان يطبق دالة trim() فقط على القيمة المُرسَلة ولا يقوم بأي تعادل للإدخال (input neutralization). يمكن لمستخدم مُصادق عليه يمتلك إذن canWrite (محرر) على صفحة ما، تخزين اسم بديل ضار يتم عرضه لاحقاً دون هروب من الرموز الخاصة في لوحة خريطة الموقع الإدارية، حيث يُنفَّذ تلقائياً في أي جلسة لإداري أو محرر تفتح اللوحة، مما يسمح لمحرر بالترقية إلى دور إداري عبر الجلسة النشطة للضحية. منح فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 مقدارها 7.3 مع المتجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N. نشكر Nguyen Manh Thuan على الإبلاغ عن هذه الثغرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.