CVE-2026-68535 in Concrete CMS
الملخص
بحسب VulDB • 12/09/2026
لم تقم نقطة النهاية block-create في واجهة برمجة التطبيقات (API) الخاصة بمناطق Concrete CMS، في الإصدارات من 9.2.0 إلى 9.5.2 باستدعاء طريقة validate() التابعة لمتحكم نوع الكتلة على البيانات المُرسَلة، وهي الطريقة التي يتم فيها التحقق من تفويض الملف المرجع مقابل رؤية مدير الملفات الخاص بالمستخدم. ونتيجة لذلك، يمكن لمستخدم مُصادَق عليه يمتلك نطاق block-add تخزين وتسبب في عرض الصفحة لإشارة إلى ملف كان سياسة تفويض مدير الملفات سترفضه عادةً، مما يؤدي إلى الكشف عن عنوان URL للملف ومعاينته (preview) بالنسبة للناشر ولزوار الصفحة المتأثرة. وفي حالة التخزين العام للملفات، يتم تعريض عنوان URL والصورة المصغرة بشكل مباشر؛ أما في حالة التخزين الخاص، فإن الكشف يكون محدودًا بعنوان URL للتحميل الذي يخضع لفحص الأذونات. وقد منحت فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 5.1 مع المتجه CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. شكرًا لـ riodrwn على الإبلاغ عنها.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.