CVE-2026-7888 in Concrete
Zusammenfassung
von VulDB • 03.06.2026
Concrete CMS vor Version 9.5.2 ist anfällig für PHP Object Injection über unserialize()-Aufrufe in den Komponenten Workflow, Form-Block und File/Set, die die Einschränkung allowed_classes nicht enthalten. Ein nicht authentifizierter Angreifer kann eine beliebige Instantiierung von PHP-Objekten auslösen, wenn eine bösartige, serialisierte Payload in der Datenbank platziert wurde. Vielen Dank an XananasX7 und Sanjorn Keeratirungsan (dizconnect) für die unabhängige Meldung. Das Concrete CMS Security-Team hat dieser Schwachstelle eine CVSS v.4.0-Bewertung von 8.4 mit dem Vektor CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N zugewiesen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.