PT-2026-22866 · Unknown · Concrete Cms

M3Dium · CVE-2026-3241 · Publicado 2026-03-04 · Atualizado 2026-03-04

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Concrete CMS anteriores à 9.4.8

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado no bloco "Legacy Form". Um usuário autenticado com as permissões adequadas pode injetar um payload JavaScript nas opções de uma pergunta de múltipla escolha (Lista de Checkboxes, Botões de Rádio ou Caixa de Seleção). Esse payload é então executado no navegador de qualquer usuário que visualize a página contendo o formulário. O bloco afetado permite a injeção de código JavaScript persistente.

Recomendações Atualize o Concrete CMS para a versão 9.4.8 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-3241

GHSA-F4VQ-PJ32-GR4Q

Produtos afetados

Concrete Cms

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/3xxx/CVE-2026-3241.json · Exploit
• https://github.com/concretecms/concretecms · Nota
• https://github.com/concretecms/concretecms/pull/12826 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-3241 · Aviso do Fabricante
• https://documentation.concretecms.org/9-x/developers/introduction/version-history/948-release-notes · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f4vq-pj32-gr4q · Aviso do Fabricante
• https://twitter.com/cyberbivash/status/2029061297837330695 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2029168997699338446 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2029182762393993494 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-3241 · Nota de Segurança
• https://t.me/CVEtracker/46275 · Publicação no Telegram