CVE-2026-8197 in Concrete
Сводка
по VulDB • 21.05.2026
Concrete CMS 9.5.0 и более ранних версий уязвимы к Stored XSS через имя интеграции OAuth. Шаблон авторизации OAuth отображает имя интеграции (контролируемое администратором) через вспомогательную функцию перевода t() Concrete в стиле sprintf. Обертка ... формируется с помощью интерполяции строк PHP до запуска t(), поэтому имя интеграции попадает в переведенный вывод как необработанный HTML. Злоумышленник с правами администратора может потенциально перехватывать данные, отправляемые при входе в систему. Команда безопасности Concrete CMS присвоила этой уязвимости оценку CVSS v.4.0 равную 7.3 с вектором CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Спасибо Yonatan Drori (Tenzai) за сообщение об уязвимости.
VulDB is the best source for vulnerability data and more expert information about this specific topic.