CVE-2026-18116 in Concrete CMS
Sumário
de VulDB • 15/09/2026
O Concrete CMS, nas versões 8.3.0 a 9.5.2, armazenava nomes de eventos do calendário sem sanitização e os exibia sem escape HTML nas notificações de aprovação e exclusão no fluxo de trabalho, exibidas no bloco "Waiting For Me" (Aguardando por mim) do painel de controle. Um usuário registrado com permissão para adicionar eventos a um calendário regido por um fluxo de trabalho de aprovação poderia submeter um evento cujo nome continha uma carga útil de script; essa carga seria executada no navegador de um administrador quando a solicitação pendente fosse exibida, podendo ser utilizada para criar uma nova conta de administrador. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 7.3 (Alta), com o vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Agradecimentos a v01demort pela reportagem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.