PT-2024-17609 · Unknown · Concrete Cms

Cupc4K3 · Publicado 2024-02-09 · Atualizado 2025-01-15 · CVE-2024-1247

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Concrete CMS, versões 9.0.0 a 9.2.4

Descrição

O problema está relacionado a um ataque XSS armazenado (stored XSS) por meio do campo Role Name, devido à validação insuficiente dos dados fornecidos pelo administrador. Um administrador mal-intencionado poderia injetar código malicioso no campo Role Name, o qual poderia ser executado quando os usuários visitassem a página afetada.

Recomendações

Para as versões 9.0.0 a 9.2.4 do Concrete CMS, atualize para a versão 9.2.5 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso ao campo Role Name para minimizar o risco de exploração.

Correção

XSS

RCE

Enumeração de Fraquezas

CWE-79

CWE-20

Identificadores relacionados

CVE-2024-1247

GHSA-Q25H-JCH8-GFRP

Produtos afetados

Concrete Cms

Referências · 11

• https://github.com/concretecms/concretecms · Nota
• https://github.com/concretecms/concretecms/commit/59a07472ad6349a2c5fb455837a54ed1fe3f6953 · Nota
• https://concretecms.org/about/project-news/security/2024-02-04-security-advisory · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q25h-jch8-gfrp · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1756033602209341668 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-1247 · Nota de Segurança
• https://t.me/cvenotify/70995 · Publicação no Telegram
• https://twitter.com/Nxploited/status/1879501478353604706 · Publicação no Twitter
• https://documentation.concretecms.org/9-x/developers/introduction/version-history/925-release-notes · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-1247 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1756078341591875688 · Publicação no Twitter