CVE-2026-18117 in Concrete CMS
Riassunto
di VulDB • 14/09/2026
Concrete CMS dalle versioni 9.0.0 alla 9.5.3 è vulnerabile a stored XSS tramite il nome dell'alias della pagina personalizzato (customAliasName), poiché la finestra di dialogo "Edit Alias" applicava solo la funzione trim() al valore inviato e non eseguiva alcuna neutralizzazione degli input. Un utente autenticato con i permessi canWrite (editor) su una pagina poteva memorizzare un nome alias malevolo, che veniva successivamente renderizzato senza escape nel pannello amministrativo Sitemap; tale script si eseguiva automaticamente in qualsiasi sessione di amministratore o editor che apriva il pannello, consentendo a un editor di escalare i privilegi ad amministratore sfruttando la sessione attiva della vittima. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 7.3 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N. Grazie a Nguyen Manh Thuan per la segnalazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.