CVE-2026-81898

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões anteriores a 9.5.3

Description Cross-Site Scripting (XSS) armazenado é possível em visualizações de associação Express devido ao formatador de texto sem país do atributo Address ignorar a codificação HTML. Isso ocorre quando um atributo Address não obrigatório aceita um país em branco e modelos de associação Express específicos, como concrete/elements/express/form/view/dashboard/association.php, ecoam a máscara de rótulo de associação sem aplicar a função h(). Um usuário capaz de enviar um atributo Address pode executar scripts arbitrários na sessão de qualquer usuário do painel que visualize a entrada afetada.

Recommendations Atualize para a versão 9.5.3 ou posterior.