Iniciar sesión
Deutsch English Español Polski
Media

Concrete CMS has a stored Cross-site Scripting (XSS) vulnerability

  • Publicada: 04.03.2026
  • Actualizado: 11.10.2026 10:22

In Concrete CMS below version 9.4.8, a user with permission to edit a page with element Legacy form can perform a stored XSS attack towards high-privilege accounts via the Question field. 

The Concrete CMS security team thanks minhnn42, namdi and quanlna2 from VCSLab-Viettel Cyber Security for reporting.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer concrete5/concrete5 < 9.4.8 9.4.8

Referencias

Puntuación CVSS -
Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Debilidad (CWE)
CWE-79
Plataforma
Composer
Paquete
concrete5/concrete5
Publicada
04.03.2026
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-45fj-fvmm-xcc5 - CC BY 4.0

Historial de vulnerabilidades: concrete5/concrete5

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (121) en el archivo
Entradas en total
121
Primera → última
10.2021 06.2026
Sin corrección
10
Explotada en ataques
0

Distribución por gravedad

  • Crítica 2
  • Alta 16
  • Media 65
  • Baja 38

Divulgaciones por año

Gravedad:
  1. Concrete CMS: PHP Object Injection via unserialize() calls
    Alta CVE-2026-10721 < 9.5.2 9.5.2
  2. Concrete CMS is vulnerable to PHP Object Injection via unserialize() calls in the Workflow, Form block, and File/Set components
    Alta CVE-2026-7888 < 9.5.2 9.5.2
  3. Concrete does not validate a CSRF token before processing requests to `/dashboard/extend/update/do_update/<pkgHandle>`
    Alta CVE-2026-8417 < 9.5.1 9.5.1
  4. Concrete CMS does not validate a CSRF token before processing requests to `/dashboard/extend/update/prepare_remote_upgrade/<remoteMPID>`
    Alta CVE-2026-8426 < 9.5.1 9.5.1
  5. Concrete CMS contains a CSRF vulnerability
    Alta CVE-2026-8421 < 9.5.1 9.5.1
  6. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Alta CVE-2026-8428 < 9.5.1 9.5.1
  7. Concrete CMS is vulnerable to missing authorization in the bulk_user_assignment.php
    Alta CVE-2026-8350 < 9.5.1 9.5.1
  8. Concrete CMS has Stored XSS through its height parameter
    Alta CVE-2026-8203 < 9.5.1 9.5.1
  9. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Alta CVE-2026-8140 < 9.5.1 9.5.1
  10. Concrete CMS Vulnerable to Deserialization of Untrusted Data
    Alta CVE-2026-8135 < 9.5.1 9.5.1
  11. Concrete CMS is vulnerable to Stored XSS via OAuth integration name
    Alta CVE-2026-8197 < 9.5.1 9.5.1
  12. Concrete CMS Vulnerable to Relative Path Traversal
    Crítica · 7.2 CVE-2026-8134 < 9.5.1 9.5.1
  13. Concrete CMS vulnerable to Remote Code Execution by stored PHP object injection
    Alta CVE-2026-3452 < 9.4.8 9.4.8
  14. Concrete CMS has a stored Cross-site Scripting (XSS) vulnerability esta entrada
    Media CVE-2026-3240 < 9.4.8 9.4.8
  15. Concrete CMS (previously concrete5) is vulnerable to possible auth bypass in the jobs section
    Crítica · 9.8 CVE-2023-28473 < 9.2.0 9.2.0
  16. Concrete CMS vulnerable to Cross-site Request Forgery
    Alta · 8.8 CVE-2022-43693 < 8.5.10, >= 9.0.0RC1, < 9.1.3 8.5.10, 9.1.3
  17. Cross Site Request Forgery in concrete5/concrete5
    Alta CVE-2021-22954 < 9.0.0 9.0.0
  18. Unrestricted Uploads in Concrete5
    Alta · 7.2 CVE-2020-11476 < 8.5.3 8.5.3
  19. Server-Side Request Forgery vulnerability in concrete5
    Alta · 8.2 CVE-2021-22958 < 8.5.5 8.5.5

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.