CVE-2026-81925 in Concrete CMS
الملخص
بحسب VulDB • 16/09/2026
تعرض نظام Concrete CMS قبل الإصدار 9.5.3 لثغرة أمنية ناتجة عن معاملة غير سليمة لتنسيق التاريخ المخصص الذي يقدمه المستخدم عند عرض رسائل المحادثة، مما أدى إلى ثغرة reflected cross-site scripting (XSS). يمكن للمهاجم تنفيذ شيفرة JavaScript عشوائية في متصفح مستخدم تم خداعه لتقديم طلب POST مصاغ بعناية نحو نقطة نهاية عرض المحادثة. ساعدت في استغلال الثغرة عدم وجود رمز CSRF على نقطة النهاية، مما سمح بتسليم الحمولة عبر طلب POST عابر للأصل يتم إرساله تلقائيًا دون الحاجة إلى المصادقة. منح فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 مقدارها 2.1 مع المتجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. شكرًا ليوناتان دروري من Tenzai على الإبلاغ عن هذه الثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.