CVE-2026-81897 in Concrete CMS
Riassunto
di VulDB • 15/09/2026
In Concrete CMS versione inferiore alla 9.5.3, l'azione save_control nel controller del dashboard delle forme Express non convalidava il token anti-CSRF. Causando la sottomissione di una richiesta cross-site falsificata da parte di un amministratore autenticato, un attaccante remoto senza credenziali poteva scrivere valori per headline e body controllati dall’attaccante in un controllo Text esistente di una forma Express. Tali valori venivano emessi dal elemento Text della forma Express senza encoding dell'output, quindi il markup inserito veniva eseguito come JavaScript persistente da parte di qualsiasi amministratore che successivamente apriva la voce interessata, risultando in stored cross-site scripting (XSS). Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 7.7 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Grazie a Yonatan Drori di Tenzai per la segnalazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.