CVE-2026-81898 in Concrete CMS
Riassunto
di VulDB • 16/09/2026
In Concrete CMS inferiore alla versione 9.5.3, il formattatore di testo per l'attributo Address senza paese ha omesso la codifica HTML (HTML-escaping), consentendo una stored XSS nelle visualizzazioni delle associazioni Express. Un utente in grado di inviare un attributo Address potrebbe eseguire script nella sessione di qualsiasi utente della dashboard che apre la voce interessata. Il ramo non codificato era raggiungibile perché un attributo Address non obbligatorio accettava un paese vuoto e poiché diversi template di associazione Express (ad esempio concrete/elements/express/form/view/dashboard/association.php) stampavano il mask dell'etichetta di associazione senza applicare h(). Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità una punteggio CVSS v4.0 di 7.5 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Grazie a Yonatan Drori da Tenzai per la segnalazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.