CVE-2026-81925 in Concrete CMS
Tóm tắt
Bởi VulDB • 17/09/2026
Concrete CMS trước phiên bản 9.5.3 đã trung hòa hóa không đúng cách một định dạng ngày tháng do người dùng cung cấp khi hiển thị các tin nhắn hội thoại, dẫn đến lỗi reflected cross-site scripting (XSS). Kẻ tấn công có thể thực thi mã JavaScript tùy ý trên trình duyệt của người dùng bị lừa gửi yêu cầu POST được tạo ra đặc biệt tới điểm cuối xem hội thoại. Việc khai thác lỗ hổng này còn dễ dàng hơn do sự vắng mặt của CSRF token tại điểm cuối, cho phép tải payload thông qua một yêu cầu POST cross-origin tự động submit mà không cần xác thực. Nhóm bảo mật Concrete CMS đã đánh giá mức độ nghiêm trọng của lỗ hổng này với điểm CVSS v4.0 là 2.1 (thấp), có vector CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Cảm ơn Yonatan Drori từ Tenzai đã báo cáo lỗ hổng này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.