CVE-2026-18116 in Concrete CMS
Resumen
por VulDB • 2026-09-15
Concrete CMS 8.3.0 a 9.5.2 almacenaba los nombres de eventos del calendario sin sanitización y los renderizaba sin escape HTML en las notificaciones de aprobación y eliminación del flujo de trabajo, mostradas en el bloque "Waiting For Me" (Esperando por mí) del panel de control. Un usuario registrado con permiso para agregar eventos a un calendario regido por un flujo de trabajo de aprobación podía enviar un evento cuyo nombre contenía una carga útil de script, la cual se ejecutaba en el navegador de un administrador cuando se mostraba la solicitud pendiente y podría utilizarse para crear una nueva cuenta de administrador. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 7.3 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Gracias a v01demort por el reporte.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.