CVE-2026-85385

9.5.4 sürümünün altındaki Concrete CMS, yazma sırasında kullanıcı zaman dilimi değerini (uTimezone) doğrulamamış ve Date::getTimezoneDisplayName() fonksiyonunun herhangi bir IANA dışı değeri değiştirilmeden döndürdüğü Dashboard kullanıcı yönetimi sayfasında bu değeri çıktı kodlaması yapmadan işlemiştir. Bu alana kaydedilen saklı siteler arası betik çalıştırma (XSS) yükü, bir yönetici etkilenen kullanıcıyı Dashboard üzerinden görüntülediğinde yöneticinin tarayıcısında çalışarak yönetici oturumunda betik yürütülmesine (örneğin CSRF belirteçlerini okuma, yönetici hesapları oluşturma veya site ayarlarını değiştirme) neden olmuştur. Concrete CMS 9.5.3 sürümünde bu alan, genel kayıt yoluyla kimlik doğrulanmamış ziyaretçiler tarafından erişilebilir hale gelmiş; 9.5.3 sürümünün altındaki Concrete CMS sürümlerinde ise aynı alan, hesap profil düzenleyicisi aracılığıyla herhangi bir kimlik doğrulanmış kullanıcı tarafından erişilebilirdi. İstismar için concrete.misc.user_timezones özelliğinin etkinleştirilmiş olması (varsayılan olarak kapalıdır) gerekmekteydi ve kimlik doğrulanmamış yol ek olarak genel kaydın etkinleştirilmesini gerektiriyordu. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N vektörü ile 7.7 CVSS v4.0 puanı vermiştir. Bildirimi yapan Suraj Bhosale'ye teşekkürler.