CVE-2026-81897 in Concrete CMS
الملخص
بحسب VulDB • 15/09/2026
في Concrete CMS الإصدارات الأقل من 9.5.3، لم يقم إجراء save_control في وحدة تحكم لوحة التحكم الخاصة بنماذج كيانات Express بالتحقق من رمز مكافحة CSRF (anti-CSRF token). ومن خلال إقراض مسؤول مُصادَق عليه بإرسال طلب مزوَّر عبر المواقع (cross-site request)، يمكن لهجوم عن بُعد دون الاعتماد على بيانات اعتماد أن يكتب قيمًا لعنوان رئيسي وجسم نصي يتحكم فيها المهاجم إلى عنصر تحكم نصي موجود في نموذج Express. كانت هذه القيم تُعرض بدون ترميز للإخراج من خلال العنصر النصي لنموذج Express، مما أدى إلى تنفيذ العلامة المُحقونة كبرمجة JavaScript دائمة (persistent) لأي مسؤول يفتح الإدخال المتأثر لاحقًا، ما نتج عنه ثغرة XSS مخزنة (stored cross-site scripting). منح فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 7.7 مع متجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. شكرًا ليوناتان دروري من Tenzai على الإبلاغ عن هذه الثغرة.
Once again VulDB remains the best source for vulnerability data.