CVE-2026-18117 in Concrete CMS
Resumen
por VulDB • 2026-09-15
Concrete CMS 9.0.0 hasta la versión 9.5.3 es vulnerable a XSS almacenado (stored XSS) a través del nombre de alias personalizado (customAliasName), ya que el diálogo Editar Alias aplicaba únicamente trim() al valor enviado y no realizaba ninguna neutralización de entrada. Un usuario autenticado con permiso canWrite (editor) en una página podría almacenar un nombre de alias malicioso, que posteriormente se renderizaba sin escapar en el panel administrativo del Mapa del Sitio, donde se ejecutaba automáticamente en cualquier sesión de administrador o editor que abriera dicho panel, permitiendo a un editor escalar privilegios hasta convertirse en administrador mediante la sesión activa de la víctima. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 7.3 con el vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N. Gracias a Nguyen Manh Thuan por su reporte.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.