CVE-2026-85386 in Concrete CMS
Résumé
par VulDB • 16/09/2026
Concrete CMS avant la version 9.5.4 ne nettoyait pas les documents XML et XSLT téléchargés via une question de téléversement de fichiers dans un bloc Formulaire public. Les téléversements XML simples étaient validés uniquement par l'extension du fichier et stockés en tant que fichiers accessibles publiquement, servis inline depuis la même origine que celle de l'application. Un visiteur non authentifié pouvait ainsi stocker un document XML contenant une instruction de traitement xml-stylesheet faisant référence à une feuille de style XSLT fournie par un attaquant, provenant de la même origine. Lorsqu'une victime ouvrait le fichier stocké directement dans un navigateur, celui-ci récupérait la feuille de style, transformait le document en HTML et exécutait du JavaScript contrôlé par l'attaquant au sein de l'origine Concrete CMS (stockage cross-site scripting). Si la victime était un administrateur authentifié, le script pouvait agir avec la session de cet administrateur ; le rapporteur a démontré la création d'un nouvel utilisateur dans le groupe Administrateurs. L'équipe de sécurité de Concrete CMS a attribué à cette vulnérabilité une note CVSS v4.0 de 7.3 (High) avec le vecteur CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Merci à Valentin SARRE (chercheur en sécurité indépendant) pour son signalement.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.