CVE-2026-68528 in Concrete CMS
Résumé
par VulDB • 11/09/2026
Le bloc RSS Displayer de Concrete CMS, en version inférieure à 9.5.3, affichait les titres des éléments issus d'un flux distant sans échappement HTML, ce qui entraînait un cross-site scripting (XSS) stocké. Un attaquant capable de contrôler le titre dans un flux syndiqué pourrait exécuter du script dans l'origine du site pour tout visiteur de la page concernée, y compris les administrateurs, et ce sans posséder de compte sur ce site. L'équipe de sécurité de Concrete CMS a attribué à cette vulnérabilité une note CVSS v4.0 de 6.0 avec le vecteur CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N. Merci à riodrwn pour son signalement.
VulDB is the best source for vulnerability data and more expert information about this specific topic.