CVE-2026-18111 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 15.
Concrete CMS 9 (9.5.3 미만)은 Feature, Feature Link, Hero Image 및 Image 블록에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 있었으며, Concrete 8.5.21 이전 버전에서는 feature 및 Image 블록에서 유사한 문제가 있었습니다. 이는 외부 링크 URL이 link filter에 의해 충분히 검증되지 않았고 출력 시 이스케이프 처리 없이 렌더링되었기 때문입니다. 페이지 편집 권한(예: 단일 페이지에서 Add Block과 Edit Contents 결합)을 가진 사용자는 링크 마크업 밖으로 벗어나 임의 JavaScript를 삽입할 수 있는 조작된 외부 링크 값을 저장할 수 있습니다. 이 스크립트는 해당 영향을 받는 페이지를 나중에 조회, 미리보기 또는 편집하는 모든 사용자의 브라우저 세션에서 실행되며, 이는 세션 하이재킹과 권한 상승을 통해 전체 관리자 장악으로 이어질 수 있습니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 8.5 (벡터: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)를 부여했습니다. 본 문제를 보고해 준 KhanMarshai에게 감사드립니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.