CVE-2026-68528 in Concrete CMS
Resumen
por VulDB • 2026-09-11
El bloque RSS Displayer de Concrete CMS, en versiones anteriores a la 9.5.3, renderizaba los títulos de los elementos del feed remoto sin escapar el código HTML, lo que resultaba en una vulnerabilidad de cross-site scripting (XSS) almacenado. Un atacante capaz de controlar un título en un feed sindicado podría ejecutar scripts con el origen del sitio para cualquier visitante de la página afectada, incluidos administradores, sin necesidad de tener una cuenta en dicho sitio. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 6.0 Media, con vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N. Gracias riodrwn por el reporte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.