CVE-2026-85386

Concrete CMS 9.5.4 versiyasından əvvəlki versiyalarda, ictimai Form Block fayl yükləmə sualı vasitəsilə yüklənən XML və XSLT sənədləri təmizlənmirdi. Sadə XML yükləmələri yalnız fayl genişlənməsi ilə yoxlanılırdı və tətbiqin öz mənşəyindən daxili olaraq təqdim edilən, ictimaiyyət üçün əlçatan fayllar kimi saxlanılırdı. Buna görə də, autentifikasiya olunmamış ziyarətçi hücum edən tərəfindən təmin edilən eyni mənşəli XSLT stil cədvəlinə istinad edən xml-stylesheet emal təlimatı olan bir XML sənədini saxlaya bilərdi. Qurban saxlanılan faylı brauzerdə birbaşa açdıqda, brauzer stil cədvəlini götürür, sənədi HTML formatına çevirir və Concrete CMS mənşəyində hücum edən tərəfin nəzarət etdiyi JavaScript kodunu icra edirdi (saxlanılmış saytlararası skriptinq - stored XSS). Əgər qurban autentifikasiya olunmuş administrator idisə, skript həmin administratorun sessiyası ilə hərəkət edə bilərdi və hesabat verən şəxs Administratorlar qrupunda yeni istifadəçinin yaradılmasını nümayiş etdirmişdir. Concrete CMS təhlükəsizlik komandası bu zəifliyə CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N vektoru ilə 7.3 CVSS v4.0 balı vermişdir. Hesabat verdiyi üçün müstəqil təhlükəsizlik tədqiqatçısı Valentin SARRE-yə təşəkkürlər.