CVE-2026-18116 in Concrete CMS
Zusammenfassung
von VulDB • 15.09.2026
Concrete CMS 8.3.0 bis 9.5.2 speicherte Kalenderereignisnamen ohne Sanitization und renderte diese ohne HTML-Escaping in den Workflow-Zustimmungs- und Löschbenachrichtigungen, die im Dashboard-Bereich „Waiting For Me“ angezeigt wurden. Ein registrierter Benutzer, der berechtigt war, Ereignisse zu einem Kalender hinzuzufügen, der von einem Approval-Workflow gesteuert wird, konnte ein Ereignis mit einem Namen eingeben, das eine Script-Payload enthielt; diese wurde dann im Browser eines Administrators ausgeführt, wenn die ausstehende Anfrage angezeigt wurde, und könnte zur Erstellung eines neuen Administratorkontos verwendet werden. Das Concrete CMS Security Team hat dieser Schwachstelle einen CVSS v4.0-Score von 7.3 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an v01demort für die Meldung.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.