CVE-2026-93659

WysokieCVSS 8.1

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Concrete CMS Community Store przed wersją 2.7.8 renderuje pola zamówień dostarczane przez klientów bez eskejpowania HTML w widokach kasy i panelu administratora. Niezautoryzowani atakujący mogą przechowywać payloady skryptów w polach nazwy, e-maila lub telefonu, które wykonują się w sesjach uwierzytelnionych menedżerów, umożliwiając tworzenie fałszywych kont lub kradzież danych.

Ocena ryzyka

Ryzyko: powstają fałszywe konta lub dochodzi do wycieku danych, gdyż skrypty uruchamiane są w kontekście uwierzytelnionych menedżerów.

Rekomendacja

Zalecane jest pilne zaktualizowanie wtyczki Concrete CMS Community Store do wersji 2.7.8 lub nowszej, która zawiera poprawkę eskejpowania danych.

Inne podatności w Concrete CMS Community Store

CVE-2026-95653Wysokie
Concrete CMS Community Store przed wersją 2.7.8 generuje tokeny pobierania produktów cyfrowych na podstawie znaczników czasu utworzenia zamówienia zamiast losowych wartości, co czyni je przewidywalnymi. Nieuwierzytelnieni atakujący mogą wyliczać kolejne identyfikatory zamówień i plików, aby obliczyć ważne tokeny pobierania i uzyskać dostęp do dóbr cyfrowych zakupionych przez innych klientów.

Oryginalny opis (angielski, źródło NVD)

Concrete CMS Community Store before 2.7.8 renders customer-supplied order fields without HTML escaping in checkout and admin views. Unauthenticated attackers can store script payloads in billing name, email, or phone fields that execute in authenticated manager sessions to create rogue accounts or exfiltrate data.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS