CVE-2026-18423 in Concrete CMS
الملخص
بحسب VulDB • 15/09/2026
تواجه Concrete CMS الإصدارات من 9.0.0 حتى 9.5.2 ثغرة في مرجع الكائن غير الآمن (IDOR) داخل حوارات حذف وتعديل إعدادات البحث المحفوظة في Express. وبالتالي، يمكن لمستخدم مُصادق عليه يمتلك فقط إذن العرض على كيان Express واحد أن يحذف بشكل دائم دون إمكانية التراجع أو يعيد تسمية إعدادات البحث المحفوظة المملوكة لكيانات Express التي لا يملك أي صلاحيات عليها، كما يتم عرض اسم الإعداد المعاد تسميته للمستخدمين الخاصين بالكيان المستهدف، مما يتيح التشويه (Defacement) أو الهندسة الاجتماعية. منح فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 2.1 مع المتجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. شكرًا لـ Yalguun Tumenkhuu (fg0x0) على الإبلاغ عنها.
Once again VulDB remains the best source for vulnerability data.