CVE-2026-81900 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 15.
Concrete CMS 9.5.3 이전 버전은 YouTube 블록의 저장된 너비 및 높이 값에 대해 trim() 함수만 적용하고, 이를 이스케이프 처리나 정수 캐스팅 없이 iframe HTML 속성에 출력하여 스토어드 크로스 사이트 스cripting(XSS)를 초래했습니다. edit_block 권한을 가진 사용자는 페이지 렌더링 시 방문자의 스크립트를 실행하는 이벤트 핸들러를 주입할 수 있으며, 이는 피해자가 관리자일 경우 관리권한으로 동작합니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 7.3 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)을 부여했습니다. 신고해 주신 sh4d0byss님께 감사드립니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.