Zaloguj się
Deutsch English Español Polski
Średnia

ConcreteCMS Cross-Site Scripting (XSS) via HTML Block Text Field

  • Ujawniono: 31.03.2025
  • Aktualizacja: 11.10.2026 10:22

A vulnerability was found in ConcreteCMS up to 9.3.9. It has been classified as problematic. This affects the function Save of the component HTML Block Handler. The manipulation of the argument content leads to HTML injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer concrete5/concrete5 <= 9.3.9 brak poprawki

Odnośniki

Ocena CVSS 3.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
concrete5/concrete5
Ujawniono
31.03.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-xfqf-5rhg-5c73 - CC BY 4.0

Historia podatności: concrete5/concrete5

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (121) w archiwum
Wszystkich wpisów
121
Pierwsza → ostatnia
10.2021 06.2026
Bez poprawki
10
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 16
  • Średnia 65
  • Niska 38

Ujawnienia w latach

Istotność:
  1. Concrete CMS: PHP Object Injection via unserialize() calls
    Wysoka CVE-2026-10721 < 9.5.2 9.5.2
  2. Concrete CMS is vulnerable to PHP Object Injection via unserialize() calls in the Workflow, Form block, and File/Set components
    Wysoka CVE-2026-7888 < 9.5.2 9.5.2
  3. Concrete does not validate a CSRF token before processing requests to `/dashboard/extend/update/do_update/<pkgHandle>`
    Wysoka CVE-2026-8417 < 9.5.1 9.5.1
  4. Concrete CMS does not validate a CSRF token before processing requests to `/dashboard/extend/update/prepare_remote_upgrade/<remoteMPID>`
    Wysoka CVE-2026-8426 < 9.5.1 9.5.1
  5. Concrete CMS contains a CSRF vulnerability
    Wysoka CVE-2026-8421 < 9.5.1 9.5.1
  6. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Wysoka CVE-2026-8428 < 9.5.1 9.5.1
  7. Concrete CMS is vulnerable to missing authorization in the bulk_user_assignment.php
    Wysoka CVE-2026-8350 < 9.5.1 9.5.1
  8. Concrete CMS has Stored XSS through its height parameter
    Wysoka CVE-2026-8203 < 9.5.1 9.5.1
  9. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Wysoka CVE-2026-8140 < 9.5.1 9.5.1
  10. Concrete CMS Vulnerable to Deserialization of Untrusted Data
    Wysoka CVE-2026-8135 < 9.5.1 9.5.1
  11. Concrete CMS is vulnerable to Stored XSS via OAuth integration name
    Wysoka CVE-2026-8197 < 9.5.1 9.5.1
  12. Concrete CMS Vulnerable to Relative Path Traversal
    Krytyczna · 7.2 CVE-2026-8134 < 9.5.1 9.5.1
  13. Concrete CMS vulnerable to Remote Code Execution by stored PHP object injection
    Wysoka CVE-2026-3452 < 9.4.8 9.4.8
  14. ConcreteCMS Cross-Site Scripting (XSS) via HTML Block Text Field ten wpis
    Średnia · 3.5 CVE-2025-2967 <= 9.3.9 brak poprawki
  15. Concrete CMS (previously concrete5) is vulnerable to possible auth bypass in the jobs section
    Krytyczna · 9.8 CVE-2023-28473 < 9.2.0 9.2.0
  16. Concrete CMS vulnerable to Cross-site Request Forgery
    Wysoka · 8.8 CVE-2022-43693 < 8.5.10, >= 9.0.0RC1, < 9.1.3 8.5.10, 9.1.3
  17. Cross Site Request Forgery in concrete5/concrete5
    Wysoka CVE-2021-22954 < 9.0.0 9.0.0
  18. Unrestricted Uploads in Concrete5
    Wysoka · 7.2 CVE-2020-11476 < 8.5.3 8.5.3
  19. Server-Side Request Forgery vulnerability in concrete5
    Wysoka · 8.2 CVE-2021-22958 < 8.5.5 8.5.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.