CVE-2026-18120

Concrete CMS before 9.5.3 exposed a legacy Express entry search endpoint that returned entry result JSON without invoking the canViewExpressEntries() permission check applied by the normal dashboard and CSV Export flow. An unauthenticated visitor who knew or discovered an Express entity identifie...

EUVD-2026-80894

Concrete CMS before 9.5.3 exposed a legacy Express entry search endpoint that returned entry result JSON without invoking the canViewExpressEntries permission check applied by the normal dashboard and CSV Export flow. An unauthenticated visitor who knew or discovered an Express entity identifier...

CVE-2026-85387

Concrete CMS before 9.5.4 failed to re-check account state when validating OAuth bearer tokens for its REST API. The authorization validator confirmed only that a token existed, had not expired, and had not been explicitly revoked — so deactivated , deleted , or locked (pending forced password re...

EUVD-2026-80892

Concrete CMS before 9.5.4 re-authorized OAuth REST API requests from the bearer token alone and did not re-check the state of the account the token had been issued to. The resource server's authorization validator confirmed only that a token existed, had not expired, and had not been explicitly...

CVE-2026-87031

Concrete CMS versions 9.2.0 through 9.5.3 contain a missing authorization check in the REST API user creation endpoint (POST /ccm/api/1.0/users, the add() method of concrete/src/Api/Controller/Users.php). Because no permission check was performed before account creation, any valid OAuth token car...

CVE-2026-87028

CVE-2026-87028 is a cross-board Insecure Direct Object Reference (IDOR) in the Board Custom Slot Preview endpoint of Concrete CMS 9.0.0 through 9.5.3 . The endpoint failed to verify that a submitted InstanceItem belonged to the board instance the requesting user was authorized to edit, and did no...

CVE-2026-85386

Concrete CMS before 9.5.4 is vulnerable to stored cross-site scripting via unauthenticated file upload in the Form Block component. XML and XSLT documents submitted through a public file-upload question were validated by file extension only and served inline from the application's own origin. An ...

CVE-2026-85385

Concrete CMS below 9.5.4 is affected by a stored cross-site scripting (XSS) vulnerability in the user timezone field (uTimezone). The root cause is that the value is not validated on write and is rendered without output encoding on the Dashboard user management page, where Date::getTimezoneDispla...

CVE-2023-50564-pluck

CVE-2023-50564-pluck CVE-2023-50564 Una vulnerabilidad de carga arbitraria de archivos en el componente /inc/modulesinstall.php de Pluck-CMS v4.7.18 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo ZIP manipulado. Esta es una vulnerabilidad autenticada. Descargo ...

CVE-2023-30253-PoC

CVE-2023-30253 CVE-2023-30253 PoC Descripción Esta es mi PoC para el CVE-2023-30253 Dolibarr 17.0.0 inyección de código PHP. Cuando el plugin CMS Website núcleo está habilitado, un atacante autenticado puede obtener ejecución remota de comandos mediante una inyección de código PHP que evade las...

CVE-2025-32432

CVE-2025-32432 PoC de RCE sin autenticación en Craft CMS Ejecución remota de código crítica sin autenticación en Craft CMS Afectado: Craft CMS 3.x, 4.x y 5.x hasta 5.6.16 Info: Este exploit está probado contra la máquina Orion de HackTheBox Resumen Este repositorio contiene un exploit de prueba d...

CVE-2026-8239

CVE-2026-8239 CVE-2026-8239 es una vulnerabilidad de Referencia Directa a Objetos Insegura IDOR que afecta a Concrete CMS 9.5.0 y anteriores.La vulnerabilidad existe en el endpoint /ccm/frontend/conversations/getrating, que permite a un atacante determinar si existe un mensaje de conversación y...

CVE-2025-46041

Anchor CMS v0.12.7 - XSS almacenado CVE-2025-46041 Anchor CMS v0.12.7 es vulnerable a Cross-Site Scripting XSS almacenado en el campo description de la interfaz /admin/pages/add. ID de CVE CVE-2025-46041 Resumen Tipo: XSS almacenado Ubicación: Interfaz de creación de páginas /admin/pages/add...

CVE-2026-25099

CVE-2026-25099 - Bludit CMS API Subida de Archivos Sin Restricciones a RCE Descripción Las versiones de Bludit CMS anteriores a la 3.18.4 permiten a un atacante autenticado con un token de API válido subir archivos de cualquier tipo y extensión a través del endpoint POST /api/files/. La función...

CVE-2019-12102-Scanner

Escáner CVE-2019-12102 El Escáner CVE-2019-12102 es una herramienta automatizada para detectar la vulnerabilidad de Carga de Archivos / Exposición de Archivos sin Autenticación en Kentico CMS versiones 11 a 12. Esta vulnerabilidad es causada por un control de acceso inadecuado en el endpoint...

https-nj.gov---CVE-2019-11358

https-nj.gov---CVE-2019-11358 Informe de vulnerabilidad del sitio oficial de Nueva Jersey jQuery anterior a la versión 3.4.0, tal como se usa en Drupal, Backdrop CMS y otros productos, maneja incorrectamente jQuery.extendtrue, , ... debido a la contaminación de Object.prototype. Si un objeto fuen...

Mezzanine-CMS-6.1.0-XSS

Mezzanine-CMS-6.1.0-XSS CVE-2025-50481 Descripción Una vulnerabilidad de cross-site scripting XSS en el componente /blog/blogpost/add de Mezzanine CMS v6.1.0 permite a los atacantes ejecutar scripts web arbitrarios o HTML mediante la inyección de un payload manipulado en una entrada de blog. CVE:...

CVE-2025-41089

CVE-2025-41089: XSS Reflejado en Xibo CMS He descubierto una vulnerabilidad de Cross-Site Scripting XSS Reflejado en Xibo CMS v4.1.2. Este problema se origina por la falta de saneamiento adecuado de la entrada proporcionada por el usuario en el campo 'Configuration Name' de ciertos widgets dentro...

XAttacker

XAttacker V2.5 Herramienta GRATIS XATTACKER Una herramienta masiva de explotación capaz de escanear y auto-explotar vulnerabilidades en aplicaciones web. Al proporcionar un sitio web objetivo a la herramienta, detecta automáticamente su arquitectura si utiliza un Sistema de Gestión de Contenidos...

ghost-cve-2026-26980

CVE-2026-26980 — Ghost CMS Content API SQL Injection Lab Unauthenticated blind SQL injection in Ghost CMS via the Content API's slug filter ordering mechanism, allowing arbitrary database reads from any Ghost instance without credentials...