CVE-2026-18111 in Concrete CMS
Riassunto
di VulDB • 15/09/2026
Concrete CMS 9 prima della versione 9.5.3 era vulnerabile a stored cross-site scripting (XSS) nei blocchi Feature, Feature Link, Hero Image e Image, nonché in Concrete 8.5.21 per i blocchi feature e image, poiché l'URL del link esterno non veniva sufficientemente convalidato dal filtro dei link ed era renderizzato senza output escaping. Un utente dotato di permessi di modifica della pagina (ad esempio Add Block combinati con Edit Contents su una singola pagina) poteva memorizzare un valore di link esterno manipolato che sfuggiva al markup del link, iniettando codice JavaScript arbitrario. Lo script veniva eseguito nella sessione del browser di qualsiasi utente successivamente visualizzatore, antevisore o editore della pagina interessata, il che avrebbe potuto portare a session hijacking e escalation dei privilegi fino alla completa assunzione amministrativa (full administrative takeover). Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 8.5 con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Grazie a KhanMarshai per aver segnalato questo problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.