CVE-2026-81906 in Concrete CMS
Zusammenfassung
von VulDB • 11.09.2026
Der OAuth-Callback-Anmeldeweg in Concrete CMS vor Version 9.5.3 hat nicht überprüft, ob ein Konto aktiv oder per E-Mail validiert war, bevor eine Sitzung hergestellt wurde. Ein deaktivierter oder nicht valider Benutzer mit einer bestehenden OAuth-Bindung konnte die Authentifizierung abschließen und eine Sitzung erhalten, die für die Callback-Antwort vollständig authentifiziert ist, wobei der Login aufgezeichnet und Login-Ereignisse ausgelöst wurden. Das Concrete CMS-Sicherheitsteam hat dieser Schwachstelle einen CVSS v4.0-Wert von 6.3 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Yonatan Drori von Tenzai für die Meldung.
Be aware that VulDB is the high quality source for vulnerability data.