Aembler

**Nome do software vulnerável e versões afetadas** Versões 9 a 9.3.3 do Concrete CMS Versões do Concrete CMS anteriores à 8.5.19 **Descrição** O problema está relacionado a XSS armazenado no recurso de adição de eventos do calendário. Isso ocorre porque o nome do evento do calendário não foi sanitizado na saída. Usuários ou grupos com permissão para criar calendários de eventos podem incorporar scripts, e usuários ou grupos com permissão para modificar calendários de eventos podem executar scripts. **Recomendações** Para as versões 9 a 9.3.3 do Concrete CMS, atualize para uma versão superior à 9.3.3 para resolver o problema. Para as versões do Concrete CMS anteriores à 8.5.19, atualize para a versão 8.5.19 ou superior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao recurso de adição de eventos no calendário para usuários ou grupos com permissão para criar ou modificar calendários de eventos até que um patch esteja disponível.

Nome do software vulnerável e versões afetadas: Concrete CMS, versões 9.0.0 a 9.3.3 Concrete CMS, versões anteriores à 8.5.19 Descrição: O problema diz respeito a um XSS armazenado na opção “Cor de fundo” do Editor de Imagens, onde um administrador mal-intencionado poderia adicionar código malicioso ao `Thumbnails/Add-Type`. Isso poderia potencialmente levar a violações de segurança. Recomendações: Para as versões 9.0.0 a 9.3.3 do Concrete CMS, atualize para uma versão superior à 9.3.3 para resolver o problema. Para as versões do Concrete CMS anteriores à 8.5.19, atualize para a versão 8.5.19 ou superior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à pasta `Thumbnails/Add-Type` para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Concrete CMS, versões 9.0.0 a 9.3.2 Concrete CMS, versões anteriores à 8.5.18 **Descrição** O problema diz respeito a um XSS armazenado no RSS Displayer do Concrete CMS, onde as entradas do usuário são armazenadas e posteriormente incorporadas nas respostas. Isso ocorre devido à validação insuficiente das entradas, permitindo que um administrador mal-intencionado injete código malicioso nos campos. **Recomendações** Para as versões 9.0.0 a 9.3.2 do Concrete CMS, atualize para uma versão superior à 9.3.2 para resolver o problema. Para versões do Concrete CMS anteriores à 8.5.18, atualize para a versão 8.5.18 ou superior para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso RSS Displayer até que um patch esteja disponível. Restrinja os privilégios de administrador para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Concrete CMS, versões 9 a 9.3.2 Concrete CMS, versões anteriores à 8.5.18 **Descrição** O problema diz respeito a uma vulnerabilidade de XSS armazenado na função `getAttributeSetName()`. Um administrador mal-intencionado poderia injetar código malicioso. **Recomendações** Para as versões 9 a 9.3.2 do Concrete CMS, atualize para uma versão superior à 9.3.2 para resolver o problema. Para as versões do Concrete CMS anteriores à 8.5.18, atualize para a versão 8.5.18 ou superior para resolver o problema. Como solução temporária, considere restringir o acesso à função `getAttributeSetName()` até que um patch esteja disponível.