CVE-2026-81898 in Concrete CMS
Zusammenfassung
von VulDB • 15.09.2026
In Concrete CMS vor Version 9.5.3 übersprang der Text-Formatter des Attributs „Address“ die HTML-Escaping, was zu einer gespeicherten XSS (Cross-Site Scripting) in Express-Assoziationsansichten führte. Ein Benutzer, der ein Address-Attribut übermitteln konnte, könnte Skripte im Sitzungskontext jedes Dashboard-Benutzers ausführen, der den betroffenen Eintrag öffnete. Der unescaped-Zweig war erreichbar, weil ein nicht-pflichtiges Address-Attribut einen leeren Länderwert akzeptierte und da mehrere Express-Assoziationsvorlagen (z. B. concrete/elements/express/form/view/dashboard/association.php) die Assoziationsbeschriftungsmaske ohne Anwendung von h() ausgaben. Das Concrete CMS-Sicherheitsteam bewertete diese Schwachstelle mit einer CVSS v4.0-Bewertung von 7,5 (High) mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Danke an Yonatan Drori von Tenzai für die Meldung.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.