Zaloguj się
Deutsch English Español Polski
Średnia

Cross site scripting in Concrete CMS

  • Ujawniono: 25.09.2024
  • Aktualizacja: 11.10.2026 10:22

Concrete CMS versions 9.0.0 to 9.3.3 and below 8.5.19 are vulnerable to Stored XSS in Image Editor Background Color.  A rogue admin could add malicious code to the Thumbnails/Add-Type.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer concrete5/concrete5 >= 9.0.0, < 9.3.4, < 8.5.19 9.3.4, 8.5.19

Odnośniki

Ocena CVSS 4.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-22, CWE-79
Platforma
Composer
Paczka
concrete5/concrete5
Ujawniono
25.09.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-q7qr-22qw-pqgx - CC BY 4.0

Historia podatności: concrete5/concrete5

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (121) w archiwum
Wszystkich wpisów
121
Pierwsza → ostatnia
10.2021 06.2026
Bez poprawki
10
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 16
  • Średnia 65
  • Niska 38

Ujawnienia w latach

Istotność:
  1. Concrete CMS: PHP Object Injection via unserialize() calls
    Wysoka CVE-2026-10721 < 9.5.2 9.5.2
  2. Concrete CMS is vulnerable to PHP Object Injection via unserialize() calls in the Workflow, Form block, and File/Set components
    Wysoka CVE-2026-7888 < 9.5.2 9.5.2
  3. Concrete does not validate a CSRF token before processing requests to `/dashboard/extend/update/do_update/<pkgHandle>`
    Wysoka CVE-2026-8417 < 9.5.1 9.5.1
  4. Concrete CMS does not validate a CSRF token before processing requests to `/dashboard/extend/update/prepare_remote_upgrade/<remoteMPID>`
    Wysoka CVE-2026-8426 < 9.5.1 9.5.1
  5. Concrete CMS contains a CSRF vulnerability
    Wysoka CVE-2026-8421 < 9.5.1 9.5.1
  6. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Wysoka CVE-2026-8428 < 9.5.1 9.5.1
  7. Concrete CMS is vulnerable to missing authorization in the bulk_user_assignment.php
    Wysoka CVE-2026-8350 < 9.5.1 9.5.1
  8. Concrete CMS has Stored XSS through its height parameter
    Wysoka CVE-2026-8203 < 9.5.1 9.5.1
  9. Concrete CMS is Vulnerable to Cross-Site Request Forgery
    Wysoka CVE-2026-8140 < 9.5.1 9.5.1
  10. Concrete CMS Vulnerable to Deserialization of Untrusted Data
    Wysoka CVE-2026-8135 < 9.5.1 9.5.1
  11. Concrete CMS is vulnerable to Stored XSS via OAuth integration name
    Wysoka CVE-2026-8197 < 9.5.1 9.5.1
  12. Concrete CMS Vulnerable to Relative Path Traversal
    Krytyczna · 7.2 CVE-2026-8134 < 9.5.1 9.5.1
  13. Concrete CMS vulnerable to Remote Code Execution by stored PHP object injection
    Wysoka CVE-2026-3452 < 9.4.8 9.4.8
  14. Cross site scripting in Concrete CMS ten wpis
    Średnia · 4.8 CVE-2024-8291 >= 9.0.0, < 9.3.4, < 8.5.19 9.3.4, 8.5.19
  15. Concrete CMS (previously concrete5) is vulnerable to possible auth bypass in the jobs section
    Krytyczna · 9.8 CVE-2023-28473 < 9.2.0 9.2.0
  16. Concrete CMS vulnerable to Cross-site Request Forgery
    Wysoka · 8.8 CVE-2022-43693 < 8.5.10, >= 9.0.0RC1, < 9.1.3 8.5.10, 9.1.3
  17. Cross Site Request Forgery in concrete5/concrete5
    Wysoka CVE-2021-22954 < 9.0.0 9.0.0
  18. Unrestricted Uploads in Concrete5
    Wysoka · 7.2 CVE-2020-11476 < 8.5.3 8.5.3
  19. Server-Side Request Forgery vulnerability in concrete5
    Wysoka · 8.2 CVE-2021-22958 < 8.5.5 8.5.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.