V01Demort

**Nome do Software Vulnerável e Versões Afetadas** Concrete CMS versões anteriores a 9.5.3 **Description** Ocorre cross-site scripting armazenado porque os rótulos de entrada do Express são renderizados como HTML bruto ao exibir entradas associadas. Um invasor não autenticado pode enviar um payload malicioso por meio de um Formulário Express público. Esse payload é executado na sessão do painel de um administrador quando a entrada associada é visualizada, ou no navegador de qualquer visitante de uma página que utilize um bloco de Lista de Entradas Express com colunas de associação, permitindo a execução de ações com os privilégios desse usuário. **Recommendations** Atualize o Concrete CMS para a versão 9.5.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Concrete CMS versões 8.3.0 through 9.5.2 **Description** Nomes de eventos de calendário são armazenados sem sanitização e renderizados sem escape de HTML nas notificações de aprovação e exclusão de fluxo de trabalho no bloco "Waiting For Me" do painel. Um usuário registrado com permissão para adicionar eventos a um calendário regido por um fluxo de aprovação pode enviar um nome de evento contendo um payload de script. Esse payload é executado no navegador de um administrador quando a solicitação pendente é exibida, podendo ser utilizado para criar uma nova conta de administrador. **Recommendations** Atualize o Concrete CMS para uma versão posterior à 9.5.2.