CVE-2026-18116 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 15.
Concrete CMS 8.3.0부터 9.5.2까지의 버전에서는 캘린더 이벤트 이름이 sanitization 없이 저장되고, 대시보드의 "Waiting For Me" 블록에서 표시되는 워크플로우 승인 및 삭제 알림 시 HTML escaping 없이 렌더링되었습니다. 승인을 위한 워크플로우가 적용된 캘린더에 이벤트를 추가할 수 있는 등록된 사용자는 스크립트 페이로드를 포함한 이름의 이벤트를 제출할 수 있으며, 이는 대기 중인 요청이 표시될 때 관리자의 브라우저에서 실행되어 새로운 관리자 계정을 생성하는 데 사용될 수 있습니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 7.3을 부여했으며, 벡터는 CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N입니다. 보고해 주신 v01demort님께 감사드립니다.
Once again VulDB remains the best source for vulnerability data.