CVE-2026-18111 in Concrete CMS
Resumen
por VulDB • 2026-09-15
Concrete CMS 9 anterior a la versión 9.5.3 era vulnerable a cross-site scripting (XSS) almacenado en los bloques Feature, Feature Link, Hero Image e Image, y antes de Concrete 8.5.21 en los bloques feature e Image, debido a que la URL del enlace externo no se validaba adecuadamente por el filtro de enlaces y se renderizaba sin escape de salida (output escaping). Un usuario con permisos para editar páginas (como Add Block combinado con Edit Contents en una sola página) podía almacenar un valor de enlace externo manipulado que escapaba del marcado del enlace e inyectaba JavaScript arbitrario. El script se ejecutaba en la sesión del navegador de cualquier usuario que posteriormente viera, previsualizara o editara la página afectada, lo cual podría conducir al secuestro de sesiones y a una escalación de privilegios hasta un control administrativo completo. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 8.5 con el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Gracias a KhanMarshai por informar sobre este problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.