Iniciar sesión
Deutsch English Español Polski
Baja

Concrete CMS Stored XSS on the calendar color settings screen

  • Publicada: 03.04.2024
  • Actualizado: 11.10.2026 10:22

Concrete CMS version 9 before 9.2.8 and previous versions prior to 8.5.16 is vulnerable to Stored XSS on the calendar color settings screen since Information input by the user is output without escaping. A rogue administrator could inject malicious javascript into the Calendar Color Settings screen which might be executed when users visit the affected page. The Concrete CMS security team gave this vulnerability a CVSS v3.1 score of 2.0 with a vector of AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:N/A:N&version=3.1 https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator  

Thank you Rikuto Tauchi for reporting

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer concrete5/concrete5 >= 9.0.0RC1, < 9.2.8, < 8.5.16 9.2.8, 8.5.16

Referencias

Puntuación CVSS 2/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:N/A:N
Debilidad (CWE)
CWE-20, CWE-79
Plataforma
Composer
Paquete
concrete5/concrete5
Publicada
03.04.2024
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-pj42-r64f-4xfq - CC BY 4.0

Historial de vulnerabilidades: concrete5/concrete5

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (121) en el archivo
Entradas en total
121
Primera → última
10.2021 06.2026
Sin corrección
10
Explotada en ataques
0

Distribución por gravedad

  • Crítica 2
  • Alta 16
  • Media 65
  • Baja 38

Divulgaciones por año

Gravedad:
  1. Concrete CMS: PHP Object Injection via unserialize() calls
    Alta CVE-2026-10721 < 9.5.2 9.5.2
  2. Concrete CMS is vulnerable to PHP Object Injection via unserialize() calls in the Workflow, Form block, and File/Set components
    Alta CVE-2026-7888 < 9.5.2 9.5.2
  3. Concrete does not validate a CSRF token before processing requests to `/dashboard/extend/update/do_update/<pkgHandle>`
    Alta CVE-2026-8417 < 9.5.1 9.5.1
  4. Concrete CMS does not validate a CSRF token before processing requests to `/dashboard/extend/update/prepare_remote_upgrade/<remoteMPID>`
    Alta CVE-2026-8426 < 9.5.1 9.5.1
  5. Concrete CMS contains a CSRF vulnerability
    Alta CVE-2026-8421 < 9.5.1 9.5.1
  6. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Alta CVE-2026-8428 < 9.5.1 9.5.1
  7. Concrete CMS is vulnerable to missing authorization in the bulk_user_assignment.php
    Alta CVE-2026-8350 < 9.5.1 9.5.1
  8. Concrete CMS has Stored XSS through its height parameter
    Alta CVE-2026-8203 < 9.5.1 9.5.1
  9. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Alta CVE-2026-8140 < 9.5.1 9.5.1
  10. Concrete CMS Vulnerable to Deserialization of Untrusted Data
    Alta CVE-2026-8135 < 9.5.1 9.5.1
  11. Concrete CMS is vulnerable to Stored XSS via OAuth integration name
    Alta CVE-2026-8197 < 9.5.1 9.5.1
  12. Concrete CMS Vulnerable to Relative Path Traversal
    Crítica · 7.2 CVE-2026-8134 < 9.5.1 9.5.1
  13. Concrete CMS vulnerable to Remote Code Execution by stored PHP object injection
    Alta CVE-2026-3452 < 9.4.8 9.4.8
  14. Concrete CMS Stored XSS on the calendar color settings screen esta entrada
    Baja · 2.0 CVE-2024-2753 >= 9.0.0RC1, < 9.2.8, < 8.5.16 9.2.8, 8.5.16
  15. Concrete CMS (previously concrete5) is vulnerable to possible auth bypass in the jobs section
    Crítica · 9.8 CVE-2023-28473 < 9.2.0 9.2.0
  16. Concrete CMS vulnerable to Cross-site Request Forgery
    Alta · 8.8 CVE-2022-43693 < 8.5.10, >= 9.0.0RC1, < 9.1.3 8.5.10, 9.1.3
  17. Cross Site Request Forgery in concrete5/concrete5
    Alta CVE-2021-22954 < 9.0.0 9.0.0
  18. Unrestricted Uploads in Concrete5
    Alta · 7.2 CVE-2020-11476 < 8.5.3 8.5.3
  19. Server-Side Request Forgery vulnerability in concrete5
    Alta · 8.2 CVE-2021-22958 < 8.5.5 8.5.5

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.