CVE-2026-8353
Açıklama
Concrete CMS 9.0 ile 9.5.0 sürümleri, Atomik temasındaki sayfa adı üzerinden Stored XSS zafiyetine sahiptir. Kötü niyetli bir editör, etkilenen hesap sayfalarını ziyaret eden herhangi bir kimliği doğrulanmış kullanıcının bağlamında çalışan rastgele JavaScript kodları enjekte edebilir. Bu durum; oturum çalma, kimlik bilgisi hırsızlığı, kullanıcılar adına kötü niyetli işlemler gerçekleştirilmesi ve potansiyel yetki yükseltmeye yol açabilir. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 2.1 CVSS v.4.0 puanı vermiştir. Bildirimi için Yonatan Drori'ye (Tenzai) teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms9.5.1 ya da sonraki bir sürüm
- concrete5/concrete59.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | 9.0 ≤ v < 9.5.1 | 9.5.1 |
| concrete5/concrete5Packagist | 9.0.0RC.1 ≤ v < 9.5.1 | 9.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.