CVE-2026-18116 in Concrete CMS
Riassunto
di VulDB • 15/09/2026
Concrete CMS dalle versioni 8.3.0 alla 9.5.2 memorizzava i nomi degli eventi del calendario senza sanitizzazione e li renderizzava senza HTML escaping nelle notifiche di approvazione ed eliminazione visualizzate nel blocco "Waiting For Me" della dashboard. Un utente registrato autorizzato ad aggiungere eventi a un calendario gestito da un workflow di approvazione poteva inviare un evento il cui nome conteneva un payload script, che veniva poi eseguito nel browser dell'amministratore quando la richiesta in sospeso veniva visualizzata e poteva essere utilizzato per creare un nuovo account amministratore. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità una punteggio CVSS v4.0 pari a 7.3 con il vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Grazie a v01demort per la segnalazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.