CVE-2026-68527 in Concrete CMS
Zusammenfassung
von VulDB • 10.09.2026
Concrete CMS nelle versioni 8.3.0 fino alla 9.5.2 è vulnerabile a un bypass dell'autorizzazione nella finestra di modifica degli eventi del calendario (concrete/controllers/dialog/event/edit.php). La finestra di dialogo verificava i permessi rispetto all'identificatore del calendario fornito nella richiesta anziché al calendario che possedeva la specifica occorrenza dell'evento. Un utente con il permesso "Add Event" su un singolo calendario poteva leggere e sovrascrivere eventi in calendari a cui non aveva l'autorizzazione di accesso, nonché eliminare l'occorrenza locale originale di un evento. La pubblicazione della versione inserita nel calendario live, che demoveva la versione precedentemente approvata, richiedeva inoltre i diritti del workflow approve_calendar_event dell'attore o un workflow con auto-approvazione. Il Concrete CMS Security Team ha assegnato a questa vulnerabilità una classificazione di 5.9 con vettore CVSS 4.0: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N. Grazie a Winston Crooker per la segnalazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.