CVE-2026-18113 in Concrete CMS
Zusammenfassung
von VulDB • 15.09.2026
In Concrete CMS 9.0 bis 9.5.2 wurde der Block „Top Navigation Bar“ nicht HTML-escaped, bevor die Namen von Dropdown-Kindseiten in die Seite geschrieben wurden. Daher konnte ein Benutzer, der Seiten erstellen oder umbenennen durfte, über einen Kindseitennamen ein Skript speichern und dieses im Browser jedes Besuchers, Editors oder Administrators ausführen lassen, der die Navigation ansah und das betroffene Dropdown öffnete. Im Original von Concrete CMS wurde das Skript mit den Berechtigungen des Opfers ausgeführt und konnte same-origin-Inhalte lesen oder Aktionen durchführen, die diesem Benutzer zur Verfügung stehen. Das Sicherheits-Team von Concrete CMS hat dieser Schwachstelle eine CVSS v4.0-Bewertung von 7.5 (High) mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an labixiaoxin97 für die Meldung.
If you want to get best quality of vulnerability data, you may have to visit VulDB.