p PatchFirst

CVE-2026-8353

CVE-2026-8353 · Concrete CMS version 9.0 to 9.5.0 is vulnerable to Stored XSS via page name in atomik theme

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Concrete CMS version 9.0 to 9.5.0 is vulnerable to Stored XSS via page name in the Atomik theme. A rogue editor can inject arbitrary JavaScript that executes in the context of any authenticated user visiting the affected account pages. This can lead to session hijacking, credential theft, malicious actions performed on behalf of users, and potential privilege escalation. The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 2.1 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Thanks Yonatan Drori (Tenzai) for reporting.

CVSS 2.1 · Faible · EPSS 0,1% · Correctif disponible

Publication
Mise à jour

Pile logicielle: php

Produits et versions concernés

  • concrete cms

    Versions du logiciel
    • ≥ 9.0, ≤ 9.5.0: Concernée (git)

    Aucun correctif publié

  • concrete5/concrete5 Packagist

    Versions du logiciel
    • 9.0.0
    • 9.0.0RC1
    • 9.0.0RC3
    • 9.0.0RC4
    • 9.0.1
    • 9.0.2
    • 9.1.0
    • 9.1.1
    • 9.1.2
    • 9.1.3
    • 9.2.0
    • 9.2.0RC2
    • 9.2.1
    • 9.2.2
    • 9.2.3
    • 9.2.4
    • 9.2.5
    • 9.2.6
    • 9.2.7
    • 9.2.8
    • 9.2.9
    • 9.3.0
    • 9.3.1
    • 9.3.2
    • 9.3.3
    • 9.3.4
    • 9.3.5
    • 9.3.6
    • 9.3.7
    • 9.3.8
    • 9.3.9
    • 9.4.0
    • 9.4.0RC1
    • 9.4.0RC2
    • 9.4.1
    • 9.4.2
    • 9.4.3
    • 9.4.4
    • 9.4.5
    • 9.4.6
    • 9.4.7
    • 9.4.8
    • 9.5.0
    • 9.5.0RC1
    • 9.5.0RC2
    Plages de versions concernées
    • ECOSYSTEM: ≥ 9.0.0RC.1, < 9.5.1

    Mettez à jour vers 9.5.1

Sources originales

Vérifiez votre serveur →