CVE-2026-81900
Təsvir
9.5.3 versiyasından əvvəlki Concrete CMS, YouTube blokunun saxlanılan en və hündürlük dəyərlərinə yalnız trim() tətbiq edirdi və onları escape etmədən və ya tam ədədə çevirmədən iframe HTML atributlarına yazırdı ki, bu da saxlanılan saytlararası skriptinqə (stored XSS) səbəb olurdu. edit_block icazəsinə malik istifadəçi, səhifəni render edən ziyarətçilər üçün skripti icra edən hadisə idarəedicisini (event handler) yerləşdirə bilərdi; qurban administrator olduqda isə bu proses inzibati imtiyazlarla həyata keçirilirdi. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N vektoru ilə 7.3 CVSS v4.0 balı vermişdir. Hesabat verdiyi üçün sh4d0byss-ə təşəkkürlər.
Necə düzəltmək olar
- concretecms concrete_cms9.5.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| concretecms concrete_cms | v < 9.5.3 | 9.5.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.