CVE-2026-18121 in Concrete CMS
الملخص
بحسب VulDB • 11/09/2026
تُظهر Concrete CMS الإصدار 9.5.2 وما قبله ثغرة في تجاوز التفويض (IDOR) لأن نقطة نهاية lightbox للوحة التقويم الأمامية (/ccm/calendar/view_event/{bID}/{occurrence_id}) لا تتحقق مما إذا كان المُدعو مُصرحًا له بعرض تقويم الذي ينتمي إليه حدث التكرار المطلوب. يقوم المتحكم بتحميل تكرار الحدث مباشرةً من معرّف تسلسلي قدمه المهاجم دون تأكيد أنه يتبع التقويم المحدّد في الكتلة المرجعية. وبالتالي، يمكن لزائر غير مصرّح له (unauthenticated) قادر على عرض أي كتبة تقويم عامة بخصائص lightbox مفعّلة أن يقدّم معرف تكرار عشوائي ويكشف عن بيانات تعريف الحدث — العنوان والتاريخ والوصف ورابط الصفحة وسمات الحدث المُعدّة — من التقاويم التي ليس لديه إذن لعرضها. منح فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 مقدارها 6.3 مع متجه CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. شكرًا لـ riodrwn على الإبلاغ.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.