CVE-2026-68528 in Concrete CMS
要約
〜によって VulDB • 2026年09月11日
Concrete CMS RSS Displayer block の 9.5.3 より前のバージョンでは、リモートフィードの項目タイトルが HTML エスケープされずにレンダリングされるため、格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）が発生します。シンジケートされたフィード内のタイトルを操作できる攻撃者は、そのサイトにアカウントを持っていない場合でも、影響を受けるページにアクセスするすべての訪問者、管理者を含む、対象サイトのオリジンでスクリプトを実行できます。Concrete CMS のセキュリティチームは、この脆弱性に対して CVSS v4.0 スコア 6.0（ベクター: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者の riodrwn に感謝します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.