CVE-2026-81915 in Concrete CMS
Zusammenfassung
von VulDB • 11.09.2026
Concrete CMS vor Version 9.5.3 führt keine autorisierungsprüfung auf Objektebene durch, wenn ein Page Type aktualisiert wird. Der Dashboard-Controller Types::submit() lädt und speichert den von einem benutzergestellten ptID identifizierten Page Type, ohne canEditPageType() aufzurufen; daher konnte ein angemeldeter Dashboard-Benutzer mit Berechtigung zum Bearbeiten eines einzelnen Page Type die Konfiguration anderer Page Types außerhalb seines zugewiesenen Autorisierungsbereichs ändern. Das Token update_page_type wurde zwar validiert, ist jedoch action- und benutzerspezifisch statt objektspezifisch ausgelegt, sodass es nicht einschränkte, welcher Page Type angegriffen werden konnte. Das Sicherheitsteam von Concrete CMS hat dieser Schwachstelle eine CVSS v4.0-Bewertung von 5.1 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Andrew Gonzalez für die Meldung.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.