CVE-2026-85386

Nome do Software Vulnerável e Versões Afetadas Concrete CMS versões anteriores a 9.5.4

Descrição A sanitização insuficiente de documentos XML e XSLT carregados por meio de uma pergunta de upload de arquivo do Form Block público permite que um visitante não autenticado armazene um documento XML malicioso. Como os uploads de XML simples são validados apenas pela extensão do arquivo e servidos inline a partir da origem da aplicação, um invasor pode incluir uma instrução de processamento xml-stylesheet referenciando uma folha de estilo XSLT de mesma origem. Quando uma vítima abre o arquivo, o navegador executa JavaScript controlado pelo invasor na origem da aplicação, resultando em cross-site scripting (XSS) armazenado. Se a vítima for um administrador autenticado, isso pode levar a ações não autorizadas, como a criação de novos usuários administradores.

Recomendações Atualize para a versão 9.5.4 ou posterior.