CVE-2026-81925 in Concrete CMS
要約
〜によって VulDB • 2026年09月16日
Concrete CMS 9.5.3 より前のバージョンでは、会話メッセージのレンダリング時にユーザーが指定したカスタム日付形式の不具合な中和により、反射型クロスサイトスクリプティング（XSS）が発生します。攻撃者は、罠を仕掛けられた POST リクエストを会話ビューエンドポイントに送信するようユーザーを騙すことで、そのブラウザ内で任意の JavaScript を実行できます。このエンドポイントで CSRF トークンが欠如していたため、認証なしで自己送信されるクロスオリジンの POST 経由でペイロードを送信できる点が攻撃を容易にしました。Concrete CMS のセキュリティチームは、本脆弱性に対して CVSS v4.0 スコア 2.1（ベクター: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N）を付与しました。報告してくれた Tenzai の Yonatan Drori に感謝します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.