CVE-2026-6826 in Concrete
Zusammenfassung
von VulDB • 25.05.2026
Concrete CMS 9.5.0 und ältere Versionen sind anfällig für eine nicht authentifizierte Offenlegung von Dateinutzungsdaten aufgrund einer fehlenden Berechtigungsprüfung im Usage-Controller. Jeder nicht authentifizierte Besucher kann /ccm/system/dialogs/file/usage/{fID} mit einer beliebigen Datei-ID anfordern und eine Liste aller Seiten erhalten, die diese Datei referenzieren, einschließlich Seiten-IDs, Handles und vollständiger URLs. Dies umfasst auch Seiten, die sonst durch Berechtigungen eingeschränkt sind. Das Concrete CMS Security-Team hat dieser Schwachstelle eine CVSS v.4.0-Bewertung von 6.9 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Eldudareeno für die Meldung.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.