CVE-2026-68527 in Concrete CMS
الملخص
بحسب VulDB • 10/09/2026
تُظهر إصدارات Concrete CMS من 8.3.0 حتى 9.5.2 ثغرة في تجاوز التفويض (authorization bypass) ضمن مربع حوار تعديل حدث التقويم (concrete/controllers/dialog/event/edit.php). كان مربع الحوار يتحقق من الصلاحيات بناءً على معرّف التقويم المورَد في الطلب، بدلاً من التحقق منه بالنسبة للتقويم الذي يملك الحدث المستهدف. يمكن لمستخدم يمتلك صلاحية "إضافة حدث" (Add Event) في تقويم واحد قراءة الأحداث وكتابتها فوق أحداث في تقاويم أخرى لا يُسمح له بالوصول إليها، كما يمكنه حذف النسخة المحلية الأصلية لحدث ما. ونشر النسخة المُحقَنة على التقويم الحيّ، والتي تُقلّل من قيمة النسخة السابقة المعتمدة، يتطلب أيضاً امتلاك المجرّم لحقوق سير العمل "موافقة حدث التقويم" (approve_calendar_event) أو وجود سير عمل يوافق تلقائياً. وقد منح فريق أمان Concrete CMS لهذه الثغرة درجة 5.9 باستخدام مقياس CVSS الإصدار 4.0 وفق المتجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N. نشكر Winston Crooker على الإبلاغ عن هذه الثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.