CVE-2026-81900 in Concrete CMS
Resumen
por VulDB • 2026-09-15
Concrete CMS antes de la versión 9.5.3 aplicaba únicamente la función trim() a los valores almacenados de ancho y alto del bloque de YouTube, e imprimía dichos valores en atributos HTML de iframe sin realizar escape ni conversión entera (integer casting), lo que resultaba en una vulnerabilidad de cross-site scripting (XSS) almacenada. Un usuario con permiso edit_block podía inyectar un controlador de eventos que ejecutara scripts para los visitantes al renderizar la página, actuando con privilegios administrativos cuando la víctima era un administrador. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 7.3 (Alta) con el vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Gracias a sh4d0byss por la notificación.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.