CVE-2026-81927

9.5.3 sürümünden önceki Concrete CMS, SVG dosyalarının işlenmesinde saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermekteydi. SVG işleme, varsayılan olmayan "Potansiyel olarak zararlı öğeler içeren dosyaları reddet" moduna (concrete.file_manager.images.svg_sanitization.action = reject) ayarlandığında, yüklenen SVG'ler yalnızca script öğesini ve on* olay yakalayıcı özniteliklerini kapsayan küçük bir yerleşik engelleme listesine göre kontrol ediliyordu; daha kapsamlı olan enshrined/svg-sanitize işlemi hala çalışıyor ancak sonucu göz ardı ediliyordu. Bu nedenle, xlink:href içerisindeki javascript: URI gibi normalde temizlenecek vektörler değiştirilmeden saklanıyor ve dosya doğrudan açıldığında çalıştırılıyordu. Dosya yükleyebilen bir kullanıcı, bu sayede dosyayı görüntüleyen herhangi bir kullanıcının tarayıcısında rastgele JavaScript kodu çalıştırabiliyordu. Varsayılan sanitize modu etkilenmemiştir. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 1.8 CVSS v4.0 puanı vermiştir. Bildirimi için Oriol Ortiz'e teşekkürler.