CVE-2026-7887 in Concrete
Zusammenfassung
von VulDB • 22.05.2026
Für Concrete CMS 9.5.0 und ältere Versionen umgehen OAuth 2.0 Authorization-Code Handler den Account-Status. Ein Benutzer mit uIsActive=0 (gesperrt, gebannt, gekündigter Mitarbeiter) kann sich weiterhin über OAuth authentifizieren und gültige API-Tokens erhalten. Das Concrete CMS Security-Team hat dieser Schwachstelle eine CVSS v.4.0-Bewertung von 2.3 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N zugewiesen. Danke an 0x4c616e für die Meldung.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.