Zaloguj się
Deutsch English Español Polski
Średnia

Concrete CMS has a stored Cross-site Scripting (XSS) vulnerability

  • Ujawniono: 04.03.2026
  • Aktualizacja: 11.10.2026 10:22

In Concrete CMS below version 9.4.8, a Cross-site Scripting (XSS) vulnerability exists in the "Legacy Form" block. An authenticated user with permissions to create or edit forms (e.g., a rogue administrator) can inject a persistent JavaScript payload into the options of a multiple-choice question (Checkbox List, Radio Buttons, or Select Box). This payload is then executed in the browser of any user who views the page containing the form. 

The Concrete CMS security team thanks M3dium for reporting.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer concrete5/concrete5 < 9.4.8 9.4.8

Odnośniki

Ocena CVSS 4.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
concrete5/concrete5
Ujawniono
04.03.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-f4vq-pj32-gr4q - CC BY 4.0

Historia podatności: concrete5/concrete5

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (121) w archiwum
Wszystkich wpisów
121
Pierwsza → ostatnia
10.2021 06.2026
Bez poprawki
10
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 16
  • Średnia 65
  • Niska 38

Ujawnienia w latach

Istotność:
  1. Concrete CMS: PHP Object Injection via unserialize() calls
    Wysoka CVE-2026-10721 < 9.5.2 9.5.2
  2. Concrete CMS is vulnerable to PHP Object Injection via unserialize() calls in the Workflow, Form block, and File/Set components
    Wysoka CVE-2026-7888 < 9.5.2 9.5.2
  3. Concrete does not validate a CSRF token before processing requests to `/dashboard/extend/update/do_update/<pkgHandle>`
    Wysoka CVE-2026-8417 < 9.5.1 9.5.1
  4. Concrete CMS does not validate a CSRF token before processing requests to `/dashboard/extend/update/prepare_remote_upgrade/<remoteMPID>`
    Wysoka CVE-2026-8426 < 9.5.1 9.5.1
  5. Concrete CMS contains a CSRF vulnerability
    Wysoka CVE-2026-8421 < 9.5.1 9.5.1
  6. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Wysoka CVE-2026-8428 < 9.5.1 9.5.1
  7. Concrete CMS is vulnerable to missing authorization in the bulk_user_assignment.php
    Wysoka CVE-2026-8350 < 9.5.1 9.5.1
  8. Concrete CMS has Stored XSS through its height parameter
    Wysoka CVE-2026-8203 < 9.5.1 9.5.1
  9. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Wysoka CVE-2026-8140 < 9.5.1 9.5.1
  10. Concrete CMS Vulnerable to Deserialization of Untrusted Data
    Wysoka CVE-2026-8135 < 9.5.1 9.5.1
  11. Concrete CMS is vulnerable to Stored XSS via OAuth integration name
    Wysoka CVE-2026-8197 < 9.5.1 9.5.1
  12. Concrete CMS Vulnerable to Relative Path Traversal
    Krytyczna · 7.2 CVE-2026-8134 < 9.5.1 9.5.1
  13. Concrete CMS has a stored Cross-site Scripting (XSS) vulnerability ten wpis
    Średnia · 4.8 CVE-2026-3241 < 9.4.8 9.4.8
  14. Concrete CMS vulnerable to Remote Code Execution by stored PHP object injection
    Wysoka CVE-2026-3452 < 9.4.8 9.4.8
  15. Concrete CMS (previously concrete5) is vulnerable to possible auth bypass in the jobs section
    Krytyczna · 9.8 CVE-2023-28473 < 9.2.0 9.2.0
  16. Concrete CMS vulnerable to Cross-site Request Forgery
    Wysoka · 8.8 CVE-2022-43693 < 8.5.10, >= 9.0.0RC1, < 9.1.3 8.5.10, 9.1.3
  17. Cross Site Request Forgery in concrete5/concrete5
    Wysoka CVE-2021-22954 < 9.0.0 9.0.0
  18. Unrestricted Uploads in Concrete5
    Wysoka · 7.2 CVE-2020-11476 < 8.5.3 8.5.3
  19. Server-Side Request Forgery vulnerability in concrete5
    Wysoka · 8.2 CVE-2021-22958 < 8.5.5 8.5.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.