CVE-2026-81917 in Concrete CMS
Riassunto
di VulDB • 11/09/2026
Concrete CMS versione inferiore alla 9.5.3 non applica l'escaping dell'output HTML ai campi della descrizione del file e dei tag durante il rendering del blocco Document Library, consentendo a un utente con autorizzazione per modificare le proprietà di un file di memorizzare un payload script che viene eseguito nel browser di qualsiasi visitatore di una pagina in cui è visualizzato il blocco con la colonna della descrizione o dei tag abilitata, inclusi i visitatori non autenticati. L'esecuzione riuscita dell'exploit potrebbe consentire il furto di dati di sessione o l'esecuzione di azioni nel contesto del visitatore. Il controller del blocco restituiva i valori della descrizione e dei tag senza che fosse stato applicato l'escaping tramite la funzione h(), già presente per la colonna del titolo, mentre il template view del blocco scriveva direttamente il valore restituito nella tabella dei risultati. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 5.1 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N. Grazie a Nguyen Manh Thuan per la segnalazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.