CVE-2026-18111 in Concrete CMS
Сводка
по VulDB • 15.09.2026
В Concrete CMS 9 до версии 9.5.3 существовала уязвимость к сохраненной межсайтовой подделке скриптов (XSS) в блоках Feature, Feature Link, Hero Image и Image, а также в Concrete CMS 8 до версии 8.5.21 — в блоках Feature и Image, поскольку URL внешней ссылки недостаточно проверялся фильтром ссылок и выводился без экранирования выходных данных. Пользователь с правами на редактирование страниц (например, имеющий возможность добавлять блоки и изменять содержимое на одной странице) мог сохранить специально созданное значение внешней ссылки, которое позволяло выйти за пределы разметки ссылки и внедрить произвольный JavaScript-код. Этот скрипт выполнялся в сеансе браузера любого пользователя, который впоследствии просматривал, предварительный просмотр или редактировал затронутую страницу, что могло привести к захвату сеанса (session hijacking) и повышению привилегий вплоть до полного административного контроля. Команда по безопасности Concrete CMS оценила эту уязвимость с помощью CVSS v4.0 со значением 8.5 High, используя вектор: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Благодарность KhanMarshai за сообщение об этой проблеме.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.