CVE-2021-28145

概要

Concrete CMS（旧 concrete5）8.5.5 より前のバージョンでは、リモートの認証済みユーザーが巧妙に細工されたサーベイブロックを介して XSS 攻撃を実行できます。これには少なくとも Editor 権限が必要です。

• CVE-2021-40101エクスプロイト

  Survey XSSとCSRFの組み合わせにより、Concrete5 8.5.4で管理者アカウント乗っ取りが発生する。