CVE-2026-81925 in Concrete CMS
Сводка
по VulDB • 16.09.2026
В Concrete CMS до версии 9.5.3 некорректно нейтрализовался пользовательский формат даты при отображении сообщений в переписке, что приводило к отраженной межсайтовой подделке скриптов (XSS). Злоумышленник мог выполнять произвольный JavaScript в браузере пользователя, которого заманили на отправку специально сформированного POST-запроса к конечной точке просмотра беседы. Эксплуатации способствовало отсутствие токена CSRF на этой конечной точке, что позволяло доставлять полезную нагрузку через автоматически отправляемый междоменный POST без аутентификации. Команда безопасности Concrete CMS присвоила данной уязвимости оценку CVSS v4.0 равную 2.1 с вектором CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Благодарность Йонатану Дрори из Tenzai за сообщение об уязвимости.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.