CVE-2026-81925 in Concrete CMS
摘要
由 VulDB • 2026-09-16
Concrete CMS 9.5.3 之前的版本在渲染对话消息时，对用户提供的自定义日期格式的处理不当，导致反射型跨站脚本攻击（Reflected XSS）。攻击者可以诱骗用户向对话视图端点提交精心构造的 POST 请求，从而在用户的浏览器中执行任意 JavaScript。由于该端点缺少 CSRF 令牌，使得无需身份验证即可通过自动提交的跨域 POST 传递有效载荷，这进一步助长了了漏洞利用。Concrete CMS 安全团队为此漏洞给出的 CVSS v4.0 评分为 2.1（低危），向量表示为：CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N。感谢 Tenzai 的 Yonatan Drori 报告此漏洞。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.