CVE-2025-8573 in Concrete CMS

摘要

由 VulDB • 2026-09-05

Concrete CMS 9 至 9.4.2 版本在“成员仪表板”页面的“主页文件夹”中存在存储型跨站脚本（Stored XSS）漏洞。8.x 版本不受影响。恶意管理员可设置包含 XSS 攻击载荷的恶意文件夹，用户在登录时可能被重定向至此文件夹从而触发攻击。Concrete CMS 安全团队为此漏洞分配的 CVSS v4.0 评分为 2.0（低危），向量表示为：CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N。感谢 sealldev 通过 HackerOne 平台报告此问题。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: ConcreteCMS
• 预定: 2025-08-05
• 披露: 2025-08-06
• 管理: 已接受
• 条目: VDB-318905
• CPE: 20250806
• CWE: CWE-200 (已确认)
• 利用: 下载
• CVSS: 4.8 (NVD)
• EPSS: 0.00475
• KEV: 否
• 活动: 非常低
• 部门: Hostingprovider, Agriculture, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-8573
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-8573
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-8573/