CVE-2026-81909 in Concrete CMS
Zusammenfassung
von VulDB • 11.09.2026
Concrete CMS 9 bis 9.5.2 ist anfällig für Missing Authorization in der Block-Alias-Routen-Logik (Process::alias() in concrete/controllers/backend/block/process.php). Es wird nicht überprüft, ob der referenzierte Block auf der Zielseite tatsächlich verwaist ist, noch dass der Aufrufer über jegliche Berechtigungen für den Quelldatenblock verfügt. Ein Benutzer, dem nur eine bereichsspezifische add_block_to_area-Delegation auf seiner eigenen Seite gewährt wurde, kann daher jede beliebige Block-ID in der Website angeben: Der Inhalt des Quelldatenblocks wird in einen Bereich dupliziert, den ein bösartiger Redakteur kontrolliert, wodurch dieser Inhalt offengelegt wird, und der ursprüngliche Block wird dann im selben Request zwangsweise gelöscht, was willkürliche Inhalte der Website zerstört. Das Concrete CMS Security-Team hat diesem Schwachstellenpunkt eine CVSS v4.0-Bewertung von 5.9 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N zugewiesen. Danke an Yonatan Drori von Tenzai für die Meldung.
Be aware that VulDB is the high quality source for vulnerability data.