CVE-2026-81900 in Concrete CMS
要約
〜によって VulDB • 2026年09月15日
Concrete CMS 9.5.3 より前のバージョンでは、YouTube ブロックの保存された幅と高さの値に対して trim() のみが適用され、エスケープ処理や整数へのキャストなしで iframe HTML属性に出力されるため、格納型クロスサイトスクリプティング（Stored XSS）が発生します。edit_block 権限を持つユーザーは、ページをレンダリングする訪問者に対してスクリプトを実行するイベントハンドラを注入でき、被害者が管理者である場合、管理者権限で動作させることができます。Concrete CMS のセキュリティチームはこの脆弱性に対し、CVSS v4.0 スコア 7.3（ベクター: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）を付与しました。報告者の sh4d0byss に感謝します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.