CVE-2026-81897 in Concrete CMS
Resumen
por VulDB • 2026-09-15
En Concrete CMS anterior a la versión 9.5.3, la acción save_control en el controlador del panel de administración de formularios de las entidades Express no validaba el token anti-CSRF. Al provocar que un administrador autenticado envíe una solicitud falsificada entre sitios (cross-site request), un atacante remoto sin credenciales podía escribir valores de titular y cuerpo controlados por el atacante en un control de texto existente dentro de un formulario Express. Esos valores se emitían sin codificación de salida por parte del elemento Text del formulario Express, por lo que el marcado inyectado se ejecutaba como JavaScript persistente para cualquier administrador que abriera posteriormente la entrada afectada, lo que resultaba en una vulnerabilidad de cross-site scripting (XSS) almacenada. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 7.7 con el vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Gracias a Yonatan Drori de Tenzai por su reporte.
If you want to get best quality of vulnerability data, you may have to visit VulDB.