PT-2025-10634 · Unknown · Concrete Cms

Alfin Joseph · Publicado 2025-03-10 · Atualizado 2025-03-11 · CVE-2025-0660

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Concrete CMS 9.0.0 até 9.3.9

Descrição O problema refere-se a um XSS armazenado na Funcionalidade de Pasta do Concrete CMS. Especificamente, a funcionalidade "Adicionar Pasta" carece de sanitização de entrada, permitindo que um administrador mal-intencionado injete payloads de XSS como nomes de pasta.

Recomendações Para as versões do Concrete CMS 9.0.0 até 9.3.9, atualize para uma versão que inclua a correção para a vulnerabilidade de XSS armazenado na Funcionalidade de Pasta. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

RCE

Enumeração de Fraquezas

CWE-79

CWE-20

Identificadores relacionados

CVE-2025-0660

GHSA-PVMX-MJMH-JFCX

Produtos afetados

Concrete Cms

Referências · 10

• https://github.com/concretecms/concretecms · Nota
• https://github.com/concretecms/concretecms/pull/12454 · Correção
• https://github.com/concretecms/bedrock/pull/370 · Correção
• https://t.me/cvetracker/18849 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-0660 · Nota de Segurança
• https://t.me/cvedetector/19982 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-pvmx-mjmh-jfcx · Aviso do Fabricante
• https://documentation.concretecms.org/9-x/developers/introduction/version-history/940-release-notes · Nota
• https://osv.dev/vulnerability/CVE-2025-0660 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1899207088200433827 · Publicação no Twitter