CVE-2026-81917

9.5.3 versiyasından aşağı olan Concrete CMS-də Document Library blokunu render edərkən fayl təsviri və teqləri sahələrinə HTML çıxış filtrləməsi (escaping) tətbiq edilmir. Buna görə də, fayl xüsusiyyətlərini redaktə etmək icazəsi olan istifadəçi, təsvir və ya teqlər sütunu aktiv edilmiş səhifəni ziyarət edən hər hansı bir şəxsin (o cümlədən autentifikasiya olunmamış ziyarətçilərin) brauzerində icra olunan skript payload-u yerləşdirə bilər. Uğurlu istismar sessiya məlumatlarının oğurlanmasına və ya ziyarətçinin kontekstində əməliyyatların yerinə yetirilməsinə imkan verə bilər. Blok kontrolleri, başlıq sütununa artıq tətbiq edilmiş h() filtrləməsini təsvir və teqlər dəyərləri üçün qaytarmamışdır və blok görünüş şablonu qaytarılan dəyəri birbaşa nəticələr cədvəlinə yazmışdır. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N vektoru ilə 5.1 CVSS v4.0 balı vermişdir. Bildirdiyi üçün Nguyen Manh Thuan-a təşəkkürlər.