CVE-2026-81925

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões anteriores a 9.5.3

Description A neutralização inadequada de um formato de data personalizado fornecido pelo usuário ao renderizar mensagens de conversa resulta em cross-site scripting (XSS) refletido, uma técnica onde scripts maliciosos são injetados em sites confiáveis. Um invasor pode executar JavaScript arbitrário no navegador de um usuário ao enganhá-lo para enviar uma requisição POST manipulada para o endpoint de visualização de conversa. Isso é facilitado pela ausência de um token Cross-Site Request Forgery (CSRF)—um identificador único usado para evitar que comandos não autorizados sejam transmitidos de um usuário em quem a aplicação web confia—no endpoint, permitindo que a carga útil seja entregue por meio de um POST cross-origin de envio automático sem autenticação.

Recommendations Atualize o Concrete CMS para a versão 9.5.3.