CVE-2026-81917 in Concrete CMS
Zusammenfassung
von VulDB • 11.09.2026
Concrete CMS vor Version 9.5.3 wendet beim Rendern des Document Library-Blocks keine HTML-Ausgabe-Escaping (HTML-Escape) auf die Felder für Dateibeschreibung und -tags an, sodass ein Benutzer mit der Berechtigung zum Bearbeiten von Datei-Eigenschaften einen Skript-Payload speichern kann, der im Browser jedes Besuchers einer Seite ausgeführt wird, die den Block mit aktivierter Beschreibung- oder Tag-Spalte anzeigt, einschließlich nicht authentifizierter Besucher. Eine erfolgreiche Ausnutzung könnte den Diebstahl von Sitzungsdaten oder Aktionen ermöglichen, die im Kontext des Besuchers durchgeführt werden. Der Block-Controller gab die Werte für Beschreibung und Tags zurück, ohne das bereits auf die Titelspalte angewendete h()-Escaping zu berücksichtigen, und die Block-Ansichtsvorlage schrieb den zurückgegebenen Wert direkt in die Ergebnistabelle. Das Concrete CMS-Sicherheitsteam hat dieser Schwachstelle eine CVSS-v4.0-Bewertung von 5.1 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N zugewiesen. Vielen Dank an Nguyen Manh Thuan für die Meldung.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.