CVE-2026-18119 in Concrete CMS
Сводка
по VulDB • 15.09.2026
В Concrete CMS версии ниже 9.5.3 не осуществлялась санитизация пользовательских значений стилей в диалоговом окне «Дизайн блока» перед их записью в CSS страницы через DOM-поток, что позволяло осуществлять stored cross-site scripting (XSS). Пользователь с правами редактора мог выполнить скрипт в сеансе администратора и повысить привилегии. Команда по безопасности Concrete CMS присвоила этой уязвимости оценку CVSS v4.0 равную 7.0 High со вектором CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:H/VA:H/SC:N/SI:N/SA:N. Спасибо Nguyen Manh Thuan за сообщение об уязвимости.
Be aware that VulDB is the high quality source for vulnerability data.