Vulnerabilidad en Concrete CMS (CVE-2025-3153)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
03/04/2025
Última modificación:
04/09/2025
Descripción
Las versiones 9 y anteriores a la 9.4.0RC2 de Concrete CMS y las versiones anteriores a la 8.5.20 son vulnerables a CSRF y XSS en el atributo de dirección de Concrete CMS, ya que las direcciones no se depuran correctamente en la salida cuando no se especifica un país. Los atacantes se limitan a las personas a las que el administrador del sitio les ha otorgado la capacidad de completar un atributo de dirección. El atacante puede obtener información limitada del sitio, pero la cantidad y el tipo están restringidos por los controles de mitigación y el nivel de acceso del atacante. La modificación de datos es limitada. La página del panel de control podría quedar indisponible. Esta corrección solo depura los nuevos datos subidos después de la actualización a Concrete CMS 9.4.0RC2. Las entradas de la base de datos existentes agregadas antes de la actualización seguirán activas si se agregaron exploits exitosos en versiones anteriores; se recomienda una búsqueda en la base de datos. El equipo de seguridad de Concrete CMS le otorgó a esta vulnerabilidad un puntaje CVSS v.4.0 de 5,1 con el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L Gracias Myq Larson por informar.
Impacto
Puntuación base 4.0
5.10
Gravedad 4.0
MEDIA
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:concretecms:concrete_cms:*:*:*:*:*:*:*:* | 8.5.20 (excluyendo) | |
| cpe:2.3:a:concretecms:concrete_cms:*:*:*:*:*:*:*:* | 9.0 (incluyendo) | 9.4.0 (excluyendo) |
| cpe:2.3:a:concretecms:concrete_cms:9.4.0:rc1:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página