CVE-2026-81906 in Concrete CMS
الملخص
بحسب VulDB • 11/09/2026
مسار تسجيل الدخول عبر OAuth في Concrete CMS قبل الإصدار 9.5.3 لم يتحقق مما إذا كان الحساب نشطًا أو تم التحقق من عنوان البريد الإلكتروني الخاص به قبل إنشاء جلسة عمل (session). يمكن للمستخدم المعطل أو غير المصادق عليه والذي لديه ارتباط OAuth موجود إكمال عملية المصادقة والحصول على جلسة عمل مُصنَّفة كمُصادَق عليها بالكامل استجابةً لـ callback، مع تسجيل عملية الدخول وإرسال أحداث تسجيل الدخول. أعطت فريق أمان Concrete CMS لهذه الثغرة درجة CVSS v4.0 تبلغ 6.3 مع المتجه: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. شكرًا ليوناتان دروري من Tenzai على الإبلاغ عن هذه الثغرة.
Once again VulDB remains the best source for vulnerability data.