CVE-2026-85385 in Concrete CMS
Zusammenfassung
von VulDB • 16.09.2026
Concrete CMS vor Version 9.5.4 validierte den Benutzer-Zeitzone-Wert (uTimezone) beim Schreiben nicht und gab ihn auf der Dashboard-Benutzerverwaltungsseite ohne Output-Encoding aus, wobei Date::getTimezoneDisplayName() jeden Nicht-IANA-Wert unverändert zurückgab. Ein in diesem Feld gespeicherter Cross-Site-Scripting-Payload wurde im Browser eines Administrators ausgeführt, wenn dieser den betroffenen Benutzer im Dashboard ansah; dabei wurden Skripte innerhalb der Admin-Sitzung ausgeführt (z. B. zum Auslesen von CSRF-Tokens, Erstellen von Administratorkonten oder Ändern der Site-Einstellungen). In Concrete CMS 9.5.3 wurde das Feld durch die öffentliche Registrierung für nicht authentifizierte Besucher erreichbar; in Concrete CMS vor Version 9.5.3 war dasselbe Feld über den Account-Profil-Editor für jeden authentifizierten Benutzer zugänglich. Für die Ausnutzung musste concrete.misc.user_timezones aktiviert sein (standardmäßig deaktiviert), und der Pfad ohne Authentifizierung erforderte zusätzlich, dass die öffentliche Registrierung aktiviert ist. Das Concrete CMS-Sicherheitsteam hat dieser Schwachstelle eine CVSS v4.0-Bewertung von 7.7 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Suraj Bhosale für die Meldung.
If you want to get best quality of vulnerability data, you may have to visit VulDB.