CVE-2026-81911 in Concrete CMS
Zusammenfassung
von VulDB • 12.09.2026
Concrete CMS in den Versionen 9.0.0 bis 9.5.2 ist anfällig für Stored XSS im Dialogfeld „Board Custom Slot“. Der Endpunkt `custom_slot save_template` autorisiert die Anfrage nur gegen die Ziel-Board-Instanz (`canEditBoardContents()`) und speichert dann das clientseitig bereitgestellte `selectedTemplateOption[collection]` unverändert ab, anstatt das Inhaltsobjekt-Collections serverseitig neu aufzubauen und zu verifizieren, dass jedes Element zum Datenpool des autorisierten Boards gehört. Ein Benutzer mit der Berechtigung, die Inhalte mindestens einer Board-Instanz zu bearbeiten, kann daher ein gefälschtes Zusammenfassungsobjekt speichern, dessen Beschreibungsfeld eine JavaScript-haltige HTML-Payload enthält. Die Standard-Zusammenfassungsvorlage rendert das Beschreibungsfeld ohne Output-Encoding, sodass die Payload im Browser jedes Benutzers ausgeführt wird, der den betroffenen Board-Slot ansieht, einschließlich anonymer Frontend-Besucher und Dashboard-Nutzer, die die resultierende Regel oder Block vorschauen. Dies kann zur Übernahme von Sitzungen (Session Takeover) oder Aktionen sowie zu einer Eskalation hin zu Administratorrechten führen. Concrete CMS-Versionen unter 9 enthalten das Boards-Feature nicht und sind nicht betroffen. Das Sicherheitsteam von Concrete CMS hat dieser Schwachstelle eine CVSS-v4.0-Bewertung von 5,8 mit dem Vektor `CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N` zugewiesen. Vielen Dank an riodrwn für die Meldung.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.