CVE-2026-18117 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 14.
Concrete CMS 9.0.0부터 9.5.3까지 customAliasName(사용자 정의 페이지 별칭 이름)을 통해 저장형 XSS 취약점에 노출됩니다. 이는 Edit Alias 대화상자가 제출된 값에 대해 trim() 함수만 적용하고 입력 중화(input neutralization)를 수행하지 않았기 때문입니다. 페이지에서 canWrite(editor) 권한이 있는 인증된 사용자는 악의적인 별칭 이름을 저장할 수 있으며, 이 내용은 관리용 Sitemap 패널에서 이스케이프 처리 없이 렌더링되어 해당 패널을 여는 모든 관리자 또는 편집자 세션에서 자동으로 실행됩니다. 이를 통해 편집자가 피해자의 활성 세션을 통해 관리자 권한으로 승격될 수 있습니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 7.3 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N)을 부여했습니다. 보고해 주신 Nguyen Manh Thuan님께 감사드립니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.