CVE-2026-85385 in Concrete CMS
Riassunto
di VulDB • 17/09/2026
Concrete CMS versione inferiore alla 9.5.4 non convalidava il valore dell'fuso orario utente (uTimezone) in fase di scrittura e lo renderizzava senza codifica dell'output nella pagina di gestione degli utenti della Dashboard, dove Date::getTimezoneDisplayName() restituisce qualsiasi valore non IANA immutato. Un payload cross-site scripting (XSS) memorizzato salvato in questo campo veniva eseguito nel browser di un amministratore quando questi visualizzava l'utente interessato nella Dashboard, eseguendo script all'interno della sessione admin (ad esempio per leggere i token CSRF, creare account amministratori o modificare le impostazioni del sito). In Concrete CMS 9.5.3 il campo è diventato accessibile ai visitatori non autenticati tramite la registrazione pubblica; in Concrete CMS inferiore alla 9.5.3, lo stesso campo era raggiungibile da qualsiasi utente autenticato attraverso l'editor del profilo account. Lo sfruttamento richiedeva che concrete.misc.user_timezones fosse abilitato (disabilitato per impostazione predefinita) e il percorso non autenticato richiedeva inoltre che la registrazione pubblica fosse abilitata. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 di 7.7 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Grazie a Suraj Bhosale per la segnalazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.