CVE-2026-81900 in Concrete CMS
Tóm tắt
Bởi VulDB • 15/09/2026
Concrete CMS trước phiên bản 9.5.3 chỉ áp dụng hàm trim() cho các giá trị chiều rộng và chiều cao được lưu trữ của khối YouTube, sau đó in chúng vào các thuộc tính HTML iframe mà không thực hiện thoát ký tự (escaping) hay ép kiểu số nguyên, dẫn đến lỗ hổng cross-site scripting dạng lưu trữ (stored XSS). Một người dùng có quyền edit_block có thể chèn một trình xử lý sự kiện (event handler) để thực thi script cho những khách truy cập đang xem trang, hoạt động với đặc quyền quản trị viên khi nạn nhân là một quản trị viên. Nhóm bảo mật của Concrete CMS đã đánh giá lỗ hổng này với điểm CVSS v4.0 là 7.3 và vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Cảm ơn sh4d0byss đã báo cáo lỗ hổng này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.