CVE-2026-85385
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Concrete CMS w wersji poniżej 9.5.4 nie sprawdzał wartości strefy czasowej użytkownika (uTimezone) podczas zapisu i renderował ją bez kodowania wyjściowego na stronie zarządzania użytkownikami Dashboard, gdzie Date::getTimezoneDisplayName() zwraca niezmienioną wartość inną niż IANA. Przechowywany ładunek skryptów między witrynami zapisany w tym polu, wykonywany w przeglądarce administratora, gdy przeglądał on użytkownika, którego dotyczy problem w panelu kontrolnym, uruchamiając skrypt w sesji administratora (na przykład w celu odczytania tokenów CSRF, utworzenia kont administratora lub zmiany ustawień witryny). W Concrete CMS 9.5.3 pole stało się dostępne dla nieuwierzytelnionych gości poprzez publiczną rejestrację; w Concrete CMS poniżej 9.5.3 to samo pole było dostępne dla każdego uwierzytelnionego użytkownika za pośrednictwem edytora profilu konta. Eksploatacja wymagała włączenia funkcji beton.misc.user_timezones (domyślnie wyłączona), a ścieżka nieuwierzytelniona dodatkowo wymagała włączenia rejestracji publicznej. Zespół ds. bezpieczeństwa Concrete CMS przyznał tej luce ocenę CVSS v4.0 na poziomie 7,7 z wektorem CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Dziękuję Suraj Bhosale za zgłoszenie.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org