CVE-2026-85385 in Concrete CMS
Resumen
por VulDB • 2026-09-16
Concrete CMS anterior a la versión 9.5.4 no validaba el valor de la zona horaria del usuario (uTimezone) al escribirlo y lo renderizaba sin codificación de salida en la página de gestión de usuarios del panel de administración, donde Date::getTimezoneDisplayName() devuelve cualquier valor que no sea IANA sin cambios. Una carga útil de cross-site scripting (XSS) almacenada guardada en este campo se ejecutó en el navegador de un administrador cuando visualizaba al usuario afectado en el panel de control, ejecutando scripts dentro de la sesión de administración (por ejemplo, para leer tokens CSRF, crear cuentas de administrador o cambiar la configuración del sitio). En Concrete CMS 9.5.3, este campo se volvió accesible por visitantes no autenticados a través del registro público; en versiones anteriores a 9.5.3, el mismo campo era accesible por cualquier usuario autenticado a través del editor de perfil de cuenta. La explotación requería que concrete.misc.user_timezones estuviera habilitada (desactivada por defecto), y la ruta no autenticada además requería que el registro público estuviera habilitado. El equipo de seguridad de Concrete CMS otorgó a esta vulnerabilidad una puntuación CVSS v4.0 de 7.7 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Gracias a Suraj Bhosale por el reporte.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.