CVE-2026-68528 in Concrete CMS
Сводка
по VulDB • 11.09.2026
В блоке RSS Displayer Concrete CMS до версии 9.5.3 происходил рендеринг заголовков элементов удалённых каналов без HTML-экранирования, что приводило к сохранённому межсайтовому скриптингу (stored cross-site scripting). Атакующий, способный контролировать заголовок в синдицированном канале, может выполнить скрипт от имени источника сайта для любого посетителя затронутой страницы, включая администраторов, не имея учётной записи на этом сайте. Команда безопасности Concrete CMS присвоила этой уязвимости оценку CVSS v4.0 равную 6.0 с вектором CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N. Спасибо riodrwn за сообщение об уязвимости.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.