CVE-2025-8571
الإصدارات من Concrete CMS 9 حتى 9.4.2 وما دون 8.5.21 معرّضة لثغرة البرمجة النصية عبر المواقع المنعكسة (Reflected Cross-Site Scripting – XSS) في صفحة لوحة تحكم رسائل المحادثة (Conversation Messages Dashboard Page).
- تم النشر
- 05/08/2025
- محدث
- 06/08/2025
- تخصيص CNA
- ConcreteCMS
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 24.5%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Concrete CMS 9 إلى 9.4.2 والإصدارات الأقدم من 8.5.21 معرضة لثغرة البرمجة النصية عبر المواقع المنعكسة (Reflected Cross-Site Scripting - XSS) في صفحة لوحة تحكم رسائل المحادثة (Conversation Messages Dashboard Page). قد تؤدي المدخلات غير المعقّمة إلى سرقة ملفات تعريف الارتباط الخاصة بالجلسة (Session Cookies) أو الرموز المميزة (Tokens)، وتشويه محتوى الويب، وإعادة التوجيه إلى مواقع ضارة، وتنفيذ إجراءات غير مصرح بها (إذا كان الضحية مسؤولًا). منح فريق أمان Concrete CMS هذه الثغرة درجة 4.8 وفقًا لمعيار CVSS v.4.0 مع متجه CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. شكرًا لشركة Fortbridge https://fortbridge.co.uk/ لإجراء اختبار الاختراق وتقييم الثغرات على Concrete CMS والإبلاغ عن هذه المشكلة.
المصادر
استغلال إثبات المفهوم لـ CVE-2025-8571، يوضح الثغرة ويوفر نص استغلال عملي لاختبار الأمان والتحقق.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.