CVE-2026-68534
Təsvir
Concrete CMS 9.5.3 versiyasından əvvəlki versiyalarda, əlaqəli qeydlər göstərilərkən Express giriş etiketləri xam HTML kimi render edilirdi ki, bu da saxlanılan saytlararası skriptinqə (stored XSS) səbəb olurdu. Autentifikasiya olunmamış hücumçu ictimai Express Form vasitəsilə zərərli kod göndərə bilərdi; həmin kod əlaqəli qeydə baxıldıqda administratorun idarəetmə paneli sessiyasında və ya assosiasiya sütunları olan Express Entry List blokundan istifadə edən səhifəyə daxil olan hər hansı ziyarətçinin brauzerində icra olunaraq, həmin istifadəçinin imtiyazları ilə əməliyyatların yerinə yetirilməsinə şərait yaradırdı. Concrete CMS təhlükəsizlik komandası bu boşluğa CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N vektoru ilə 2.3 CVSS v4.0 balı vermişdir. Hesabat üçün v01demort-a təşəkkürlər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Concrete CMS Concrete CMS | 5.0.0 ≤ v ≤ 9.5.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.