CVE-2026-81896 in Concrete CMS
Riassunto
di VulDB • 15/09/2026
Concrete CMS prima della versione 9.5.3 non applica la codifica delle entità HTML alle etichette dei campi del modulo definite dall'utente quando vengono renderizzate come intestazioni di colonna nel report "Form Submissions" (concrete/single_pages/dashboard/reports/forms/legacy.php). Un editor malintenzionato potrebbe memorizzare markup o script in un'etichetta che viene poi eseguito nel browser di qualsiasi amministratore che apre il report delle sottomissioni per il modulo interessato, producendo una vulnerabilità stored cross-site scripting (XSS) nella Dashboard. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 8.4 con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. Grazie a Yonatan Drori di Tenzai per la segnalazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.