CVE-2026-68531 in Concrete CMS
الملخص
بحسب VulDB • 16/09/2026
لم تقم Concrete CMS 9 قبل الإصدار 9.5.3 بتجنب (escape) أحرف البدل الخاصة بـ SQL LIKE في مرشحات البحث بالكلمات المفتاحية المستخدمة بواسطة مدير الملفات، ومجلدات الملفات، وقائمة الصفحات، مما مكن مستخدمًا مُصادقًا عليه يتمتع بصلاحيات مستوى محرر أو أعلى من تقديم بحث مصمم يحتوي على العديد من أحرف البدل ذات الأحرف الفردية. ونظرًا لأن إدخال الكلمة المفتاحية وُضع ضمن جملة LIKE دون تحييد رموزها الخاصة بأحرف البدل، فقد كان بإمكان طلب قصير أن يجبر قاعدة البيانات على تقييم كل صف وإجراء مسح كامل للجداول (full-table scan)، ويمكن لعمليات البحث المتكررة أو تلك الغنية بأحرف البدل أن تستمر في رفع استهلاك وحدة المعالجة المركزية وعمليات الإدخال/الإخراج لقاعدة البيانات، مما يؤدي إلى تدهور الاستجابة للمستخدمين الآخرين في التثبيتات الكبيرة. وقد منحت فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 2.1 مع المتجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N. شكرًا لـ noivan على الإبلاغ عن هذه الثغرة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.