CVE-2026-7886 in Concrete CMS
الملخص
بحسب VulDB • 22/05/2026
تواجه أنظمة Concrete CMS الإصدار 9.5.0 وما قبله ثغرة من نوع IDOR (نقص التحكم في الوصول المباشر إلى الكائنات) في الدالتين `AddMessage` و`UpdateMessage` عبر معلمة `attachments[]`، مما قد يؤدي إلى تجاوز أذونات الملفات. تقبل وحدات تحكم المحادثات `AddMessage` و`UpdateMessage` معرّفات مرفقات الملفات المقدمة من المستخدم وتقوم بتحميل الملفات مباشرةً عبر `$em->find(File::class, $attachmentID)` دون التحقق من أذونات كل ملف على حدة (`canViewFile()`). يمكن للمستخدم الذي لديه صلاحية النشر في أي محادثة أن يشير إلى أي ملف في مدير ملفات CMS باستخدام معرّفه التسلسلي، مما يتجاوز فعليًا نظام أذونات الملفات.
منحت فريق أمان Concrete CMS لهذه الثغرة درجة CVSS الإصدار 4.0 تساوي 2.3، مع المتجه التالي: `CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N`.
نشكر Tristan Mandani على الإبلاغ عن هذه الثغرة. إذا كان الموقع يحتوي حقًا على ملفات خاصة، فيجب على المالك إعداد موقع تخزين خاص (https://documentation.concretecms.org/user-guide/editors-reference/dashboard/system-and-maintenance/files/file-storage-locations) خارج جذر الويب (webroot) بحيث يمكن التحقق من الأذونات عند العرض أيضًا. بهذه الطريقة، حتى إذا قام مستخدم مصرح له بإرفاق ملف أو ربطه بطريقة أخرى، فلن يتمكن المستخدمون غير المصرح لهم من عرض الملف.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.