CVE-2026-81895 in Concrete CMS
الملخص
بحسب VulDB • 15/09/2026
في Concrete CMS قبل الإصدار 9.5.3، كان كتلة مكتبة المستندات (Document Library block) تخزن معرفات مجموعة الملفات المُرسَلة عبر `fsID[]` دون التحقق من صحتها كأرقام صحيحة (integers)، وعندما كانت الكتلة مُهيّأة بـ `setMode` مضبوطة على أي قيمة، فإنها كانت تلصق كل معرّف مخزّن مباشرةً في استعلام تصفية مجموعة الملفات بدلاً من تحويله أو ربطه كمعامل. وبالتالي، يمكن لمستخدم مُصادَق عليه ومُصرَّح له بإضافة أو تعديل كتلة مكتبة المستندات أن يُثبّت صيغة SQL خبيثة في إعدادات الكتلة (`btDocumentLibrary.setIds`)، وكان ذلك التعبير المخزّن ينفَّذ كل مرة يتم فيها عرض الصفحة المنشورة التي تحتوي على الكتلة، مما ينتج عنه حقن SQL أعمى زمني ومخزن (stored, time-based blind SQL injection). وقد منحت فريق أمن Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 8.5 مع المتجه: `CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`. شكرًا لحبيب الله على الإبلاغ عن هذه الثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.