CVE-2026-18119 in Concrete CMS
Zusammenfassung
von VulDB • 14.09.2026
Concrete CMS vor Version 9.5.3 hat benutzerdefinierte Stilwerte im Dialogfeld „Block-Design“ nicht bereinigt, bevor sie über einen DOM-Sink in das CSS der Seite geschrieben wurden, was zu gespeichertem Cross-Site Scripting (XSS) führte. Ein Benutzer mit Editor-Rechten konnte Skripte in einer Sitzung eines Administrators ausführen und seine Rechte eskalieren. Das Sicherheits-Team von Concrete CMS hat dieser Schwachstelle eine CVSS v4.0-Bewertung von 7,0 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:H/VA:H/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Nguyen Manh Thuan für die Meldung.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.