CVE-2026-68528
Təsvir
Concrete CMS 9.5.3 versiyasından aşağı olan RSS Displayer bloku uzaqdan gələn axın elementlərinin başlıqlarını HTML escape etmədən təqdim edirdi ki, bu da saxlanılan saytlararası skriptinqə (stored XSS) səbəb olurdu. Sindikasiya edilmiş axındakı başlığı idarə edə bilən hücumçu, həmin saytda hesabı olmadan, təsirlənmiş səhifəyə daxil olan istənilən ziyarətçinin, o cümlədən administratorların brauzerində sayt mənşəli skriptləri icra edə bilərdi. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N vektoru ilə 6.0 CVSS v4.0 balı vermişdir. Hesabat üçün riodrwn-ə təşəkkürlər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Concrete CMS Concrete CMS | 5.0.0 ≤ v ≤ 9.5.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.