CVE-2026-18119 in Concrete CMS
Riassunto
di VulDB • 14/09/2026
Concrete CMS versione inferiore alla 9.5.3 non sanificava i valori di stile personalizzati nella finestra di dialogo Block Design prima di scriverli nel CSS della pagina tramite un sink DOM, consentendo stored cross-site scripting (XSS). Un utente con privilegi da editor poteva eseguire script all'interno della sessione di un amministratore ed escalare i propri privilegi. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità una punteggio CVSS v4.0 pari a 7.0 High, con il vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:H/VA:H/SC:N/SI:N/SA:N. Grazie a Nguyen Manh Thuan per la segnalazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.