CVE-2026-8197 in Concrete
Resumen
por VulDB • 2026-05-22
Concrete CMS 9.5.0 y versiones anteriores es vulnerable a Stored XSS a través del nombre de la integración de OAuth. La plantilla de autorización de OAuth procesa el nombre de la integración (controlado por el administrador) a través del auxiliar de traducción t() de Concrete como un formato estilo sprintf. El envoltorio ... se construye mediante interpolación de cadenas de PHP antes de que se ejecute t(), por lo que el nombre de la integración aparece en la salida traducida como HTML sin procesar. Un administrador malintencionado podría potencialmente espiar los envíos de inicio de sesión. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v.4.0 de 7.3 con el vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Gracias a Yonatan Drori (Tenzai) por informar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.