Unknown · Concrete Cms · CVE-2026-18113
**Nome do Software Vulnerável e Versões Afetadas**
Concrete CMS versões 9.0 a 9.5.2
**Description**
O bloco Top Navigation Bar não realiza a codificação HTML (HTML-escape) dos nomes de páginas filhas no menu suspenso antes de escrevê-los na página. Isso permite que um usuário com permissão para criar ou renomear páginas armazene um script malicioso por meio do nome de uma página filha, que será executado no navegador de qualquer visitante, editor ou administrador que visualizar a navegação e abrir o menu suspenso afetado. No contexto de origem do Concrete CMS, o script é executado com os privilégios da vítima, podendo ler conteúdo de mesma origem ou realizar ações disponíveis para aquele usuário.
**Recommendations**
Atualize o Concrete CMS para uma versão posterior à 9.5.2.