CVE-2026-81925 in Concrete CMS
Resumen
por VulDB • 2026-09-16
Concrete CMS anterior a la versión 9.5.3 neutralizaba incorrectamente un formato de fecha personalizado proporcionado por el usuario al renderizar mensajes de conversación, lo que resultaba en una vulnerabilidad de cross-site scripting (XSS) reflejada. Un atacante podría ejecutar JavaScript arbitrario en el navegador de un usuario engañado para enviar una solicitud POST manipulada a la ruta del endpoint de visualización de conversaciones. La explotación se vio facilitada por la ausencia de un token CSRF en dicho endpoint, lo que permitía entregar la carga útil mediante una petición POST cross-origin autoenviada sin necesidad de autenticación. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 2.1 con el vector CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Gracias a Yonatan Drori de Tenzai por su reporte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.