CVE-2026-81901 in Concrete CMS
Zusammenfassung
von VulDB • 14.09.2026
In Concrete CMS 9.2.0 bis 9.5.2 hat der REST-API-Endpunkt zur Aktualisierung von Seiten (PUT /ccm/api/1.0/pages/{cID}) keine Autorisierungsprüfungen für Seiteneigenschaften, -vorlagen oder -typen durchgesetzt. Ein Benutzer mit nur Bearbeitungsberechtigungen für den Inhalt einer Seite konnte daher dessen Eigenschaften, Vorlage und Typ über die API ändern sowie das Attribut header_extra_content festlegen, welches unescaped in das head-Element jeder Seite gerendert wird, um JavaScript zu persistieren, das im Browser jedes Besuchers ausgeführt wurde – einschließlich höher privilegierten Prüfern, die die Seitenversion genehmigen. Das Concrete CMS Security Team hat dieser Schwachstelle eine CVSS v4.0-Bewertung von 7.2 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N zugewiesen. Danke an Yonatan Drori von Tenzai für die Meldung.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.