CVE-2026-68534

9.5.3 sürümünden önceki Concrete CMS, ilişkili girişleri görüntülerken Express giriş etiketlerini ham HTML olarak işlemiş ve bu durum saklı siteler arası betik çalıştırmaya (stored XSS) yol açmıştır. Kimliği doğrulanmamış bir saldırgan, herkese açık bir Express Form üzerinden yük (payload) gönderebilir; bu yük daha sonra ilişkili giriş görüntülendiğinde bir yöneticinin panel oturumunda veya ilişkilendirme sütunları içeren bir Express Entry List bloğu kullanan bir sayfayı ziyaret eden herhangi bir kullanıcının tarayıcısında çalışarak söz konusu kullanıcının yetkileriyle işlemler yapılmasına olanak tanır. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 2.3 CVSS v4.0 puanı vermiştir. Bildirimi için v01demort'a teşekkürler.