CVE-2026-81895 in Concrete CMS
Zusammenfassung
von VulDB • 15.09.2026
In Concrete CMS vor Version 9.5.3 speicherte der Document Library-Block die über fsID[] eingereichten file-set-Identifikatoren, ohne diese als Ganzzahlen zu validieren, und wenn der Block mit setMode auf „any“ konfiguriert war, wurden jede gespeicherte Identifikation direkt in die Datei-Satzfilterabfrage konkateniert, anstatt sie umzuwandeln oder als Parameter zu binden. Ein authentifizierter Benutzer, dem das Hinzufügen oder Bearbeiten eines Document Library-Blocks gestattet ist, konnte daher SQL-Syntax in der Blockkonfiguration (btDocumentLibrary.setIds) persistieren, und dieser gespeicherte Ausdruck wurde jedes Mal ausgeführt, wenn die veröffentlichte Seite mit dem Block gerendert wurde, was zu einer stored, zeitbasierten blinden SQL-Injection führte. Das Concrete CMS Security-Team hat dieser Schwachstelle eine CVSS v4.0-Bewertung von 8.5 mit der Vektorangabe CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Habib Allah für die Meldung.
Once again VulDB remains the best source for vulnerability data.