M3Dium

**Nome do Software Vulnerável e Versões Afetadas** Versões do Concrete CMS anteriores à 9.4.8 **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado no bloco "Legacy Form". Um usuário autenticado com as permissões adequadas pode injetar um payload JavaScript nas opções de uma pergunta de múltipla escolha (Lista de Checkboxes, Botões de Rádio ou Caixa de Seleção). Esse payload é então executado no navegador de qualquer usuário que visualize a página contendo o formulário. O bloco afetado permite a injeção de código JavaScript persistente. **Recomendações** Atualize o Concrete CMS para a versão 9.4.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Concrete CMS anteriores à 9.4.8 **Descrição** Um administrador malicioso pode injetar cross-site scripting (XSS) armazenado através do bloco Switch Language. Isso permite que um atacante execute scripts no contexto do navegador de outro usuário. **Recomendações** Atualize para a versão 9.4.8 ou posterior.

**Nome do software vulnerável e versões afetadas** Concrete CMS, versões 9.0.0 a 9.3.2 Concrete CMS, versões anteriores à 8.5.18 **Descrição** O problema diz respeito a um XSS armazenado no RSS Displayer do Concrete CMS, onde as entradas do usuário são armazenadas e posteriormente incorporadas nas respostas. Isso ocorre devido à validação insuficiente das entradas, permitindo que um administrador mal-intencionado injete código malicioso nos campos. **Recomendações** Para as versões 9.0.0 a 9.3.2 do Concrete CMS, atualize para uma versão superior à 9.3.2 para resolver o problema. Para versões do Concrete CMS anteriores à 8.5.18, atualize para a versão 8.5.18 ou superior para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso RSS Displayer até que um patch esteja disponível. Restrinja os privilégios de administrador para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Concrete CMS, versões 9.0.0 a 9.3.2 **Descrição** O problema é uma vulnerabilidade XSS armazenada nas instâncias do Board, que poderia permitir que um administrador mal-intencionado injetasse código malicioso. **Recomendações** Para as versões 9.0.0 a 9.3.2, atualize para uma versão que corrija esse problema para evitar a exploração. Como solução temporária, considere restringir o acesso às instâncias do Board até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Concrete CMS, versões 9 a 9.3.2 Concrete CMS, versões anteriores à 8.5.18 **Descrição** O problema diz respeito a uma vulnerabilidade de XSS armazenado na função `getAttributeSetName()`. Um administrador mal-intencionado poderia injetar código malicioso. **Recomendações** Para as versões 9 a 9.3.2 do Concrete CMS, atualize para uma versão superior à 9.3.2 para resolver o problema. Para as versões do Concrete CMS anteriores à 8.5.18, atualize para a versão 8.5.18 ou superior para resolver o problema. Como solução temporária, considere restringir o acesso à função `getAttributeSetName()` até que um patch esteja disponível.