CVE-2026-81917

9.5.3 sürümünün altındaki Concrete CMS, Document Library bloğunu oluştururken dosya açıklaması ve etiket alanlarına HTML çıktı kaçışlaması (output escaping) uygulamamaktadır; bu nedenle, dosya özelliklerini düzenleme yetkisine sahip bir kullanıcı, açıklama veya etiket sütunu etkinleştirilmiş bir sayfayı ziyaret eden kimliği doğrulanmamış ziyaretçiler de dahil olmak üzere herhangi bir ziyaretçinin tarayıcısında çalışacak bir betik yükü depolayabilir. Başarılı bir istismar, oturum verilerinin çalınmasına veya ziyaretçinin bağlamında işlemler gerçekleştirilmesine izin verebilir. Blok denetleyicisi, başlık sütununa halihazırda uygulanan h() kaçışlamasını uygulamadan açıklama ve etiket değerlerini döndürmüş ve blok görünüm şablonu döndürülen değeri doğrudan sonuçlar tablosuna yazmıştır. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N vektörü ile 5.1 CVSS v4.0 puanı vermiştir. Bildirimi için Nguyen Manh Thuan'a teşekkürler.