PT-2026-92122
CVE-2026-18111
·
Publicado
2026-09-15
·
Atualizado
2026-09-15
Descrição por
CVSS 4.0
8.5
AltaMétricasAV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas
Concrete CMS versões anteriores a 9.5.3
Concrete CMS versões anteriores a 8.5.21
Description
Existe um cross-site scripting (XSS) armazenado nos blocos Feature, Feature Link, Hero Image e Image. O problema ocorre porque a URL do link externo é insuficientemente validada pelo filtro de links e renderizada sem a devida filtragem de saída. Um usuário com permissões de edição de página pode armazenar um valor de link externo manipulado para injetar JavaScript arbitrário. Esse script é executado na sessão do navegador de qualquer usuário que visualize, pré-visualize ou edite a página afetada, podendo levar ao sequestro de sessão e ao controle administrativo total.
Recommendations
Atualize o Concrete CMS para a versão 9.5.3 ou posterior.
Atualize o Concrete CMS para a versão 8.5.21 ou posterior.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾