CVE-2026-8197 in Concrete
Zusammenfassung
von VulDB • 23.05.2026
Concrete CMS 9.5.0 und ältere Versionen sind anfällig für Stored XSS über den OAuth-Integrationsnamen. Die OAuth-Autorisierungsvorlage rendert den Integrationsnamen (vom Administrator gesteuert) über Concrete's t()-Übersetzungshilfsfunktion als sprintf-ähnliches Format. Der ...-Wrap wird durch PHP-String-Interpolation vor der Ausführung von t() erstellt, sodass der Integrationsname als rohes HTML in der übersetzten Ausgabe landet. Ein böswilliger Administrator könnte potenziell Login-Übermittlungen abhören. Das Concrete CMS-Sicherheitsteam hat dieser Schwachstelle eine CVSS-v4.0-Bewertung von 7.3 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Yonatan Drori (Tenzai) für die Meldung.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.