CVE-2026-68530 in Concrete CMS
الملخص
بحسب VulDB • 15/09/2026
لم يقم Concrete CMS من الإصدار 9 حتى 9.5.2 بإجراء فحص تفويض (authorization check) على عدة إجراءات خاصة بـ board-instance في منطقة Boards ضمن لوحة التحكم (Dashboard). قام متحكم الصفحة الواحدة المسؤول عن تفاصيل الـ instance بحلّ instance للوحة مباشرةً باستخدام معرف الـ instance الذي زوّد به المهاجم، ثم عرضَه أو حدّثه أو أعدَّ توليده أو حذفَه دون التحقق من أن مقدم الطلب يمتلك صلاحية edit_board_settings على اللوحة الأم التابعة لذلك الـ instance. ونتيجةً لذلك، يمكن لمستخدم مُمنوح حقوق تعديل لوحة واحدة الوصول إلى instances أي لوحة أخرى في الموقع عن طريق تزويد معرفات تلك الـ instances الخاصة بها. تجاوزت الإجراءات المتأثرة accessor الخاص بالمتحكم الذي يتحقق من الصلاحيات (نفس accessor المستخدم في عرض القراءة، والذي يشغل canEditBoardSettings على اللوحة الأم)، وقامت فقط بالتحقق من رمز CSRF محدد نطاق الإجراء (action-scoped CSRF token)، وهو مرتبط باسم الإجراء وليس بالكائن المستهدف، وبالتالي يمكن إعادة استخدامه عبر لوحات مختلفة. منح فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 2.1 مع المتجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. شكرًا لـ Winston Crooker على الإبلاغ عنها.
Be aware that VulDB is the high quality source for vulnerability data.