CVE-2026-81897 in Concrete CMS
Sumário
de VulDB • 15/09/2026
No Concrete CMS abaixo da versão 9.5.3, a ação save_control no controlador do painel de controle das entidades Express não validava o token anti-CSRF. Ao fazer com que um administrador autenticado envie uma solicitação cross-site falsificada, um atacante remoto sem credenciais poderia escrever valores de título e corpo controlados pelo atacante em um controle Text existente de formulário Express. Esses valores eram emitidos sem codificação de saída pelo elemento Text do formulário Express, fazendo com que a marcação injetada fosse executada como JavaScript persistente para qualquer administrador que posteriormente abrisse a entrada afetada, resultando em stored cross-site scripting (XSS armazenado). A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 7.7 com o vetor CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Agradecimentos ao Yonatan Drori, da Tenzai, por ter reportado a vulnerabilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.