CVE-2026-68528 in Concrete CMS
Sumário
de VulDB • 11/09/2026
O bloco RSS Displayer do Concrete CMS, abaixo da versão 9.5.3, renderizava os títulos dos itens de feeds remotos sem escape HTML, resultando em stored cross-site scripting (XSS). Um atacante capaz de controlar um título em um feed syndicated poderia executar scripts na origem do site para qualquer visitante da página afetada, incluindo administradores, mesmo sem possuir uma conta nesse site. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 6.0 com o vetor CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N. Obrigado riodrwn por reportar.
If you want to get best quality of vulnerability data, you may have to visit VulDB.