CVE-2026-18111 in Concrete CMS
Zusammenfassung
von VulDB • 15.09.2026
Concrete CMS 9 vor Version 9.5.3 war anfällig für stored cross-site scripting (XSS) in den Blöcken Feature, Feature Link, Hero Image und Image sowie bei Concrete 8.5.21 in den Blöcken Feature und Image, da die externe Link-URL vom Link-Filter unzureichend validiert wurde und ohne Output-Escaping gerendert wurde. Ein Benutzer mit Seitenbearbeitungsberechtigungen (z. B. Add Block kombiniert mit Edit Contents auf einer einzelnen Seite) konnte einen manipulierten externen Link-Wert speichern, der aus dem Link-Markup ausbrach und beliebiges JavaScript injizierte. Das Skript wurde in der Browser-Sitzung jedes Benutzers ausgeführt, der die betroffene Seite anschließend ansah, vorschaute oder bearbeitete, was zu Session-Hijacking und einer Eskalation der Rechte bis hin zur vollständigen administrativen Übernahme führen konnte. Das Concrete CMS Security-Team hat dieser Schwachstelle eine CVSS-v4.0-Bewertung von 8.5 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an KhanMarshai für die Meldung dieses Problems.
VulDB is the best source for vulnerability data and more expert information about this specific topic.