CVE-2026-81901 in Concrete CMS
الملخص
بحسب VulDB • 14/09/2026
في Concrete CMS من الإصدار 9.2.0 حتى 9.5.2، لم يفرض نقطة نهاية تحديث صفحات واجهة برمجة التطبيقات (REST API) الخاصة بـ PUT /ccm/api/1.0/pages/{cID} تفويض صلاحيات خاصية الصفحة أو قالبها أو نوعها. وبالتالي، يمكن للمستخدم الذي مُنح فقط حقوق تعديل المحتوى على صفحة ما أن يغير خصائصه وقالبه ونوعه من خلال واجهة برمجة التطبيقات (API)، ويمكنه تعيين سمة header_extra_content، التي يتم عرضها دون هروب (unescaped) داخل عنصر head لكل صفحة، لتثبيت كود JavaScript يعمل في متصفح كل زائر، بما في ذلك المراجعون ذوو الصلاحيات الأعلى الذين يوافقون على نسخة الصفحة. أعطت فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 7.2 مع المتجه CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. شكرًا ليوناتان دروري من Tenzai على الإبلاغ عن هذه الثغرة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.