CVE-2026-18119 in Concrete CMS
要約
〜によって VulDB • 2026年09月14日
Concrete CMS v9.5.3未満では、Block Designダイアログ内のカスタムスタイル値がページCSSへの書き込み前にサニタイズされず（DOM sink経由）、格納型クロスサイトスクリプティング(XSS)を許可していました。エディターレベルのユーザーは管理者セッション内でスクリプトを実行し、権限昇侵することが可能でした。Concrete CMSセキュリティチームはこの脆弱性に対してCVSS v4.0スコア7.0（ベクトル: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:H/VA:H/SC:N/SI:N/SA:N）を付与しました。報告者のNguyen Manh Thuan氏に感謝します。
Be aware that VulDB is the high quality source for vulnerability data.