CVE-2026-81916 in Concrete CMS
Zusammenfassung
von VulDB • 12.09.2026
Concrete CMS vor Version 9.5.3 hat die Berechtigungsprüfung für das Einreichen eines Express-Eintrags gegen die Entität des gesendeten Formulars anstelle der durch den Dashboard-Route identifizierten Entität durchgeführt. Infolgedessen konnte ein Benutzer, dem es gestattet war, Einträge zu einem bestimmten Express-Objekt hinzuzufügen, Einträge in einem anderen Express-Objekt außerhalb seines Berechtigungsumfangs erstellen, was potenziell geschützte Datensätze verschmutzen, Workflows auslösen oder Inhalte in administrative Prozesse einschleusen konnte. Die Dashboard-Einreichungsroute löste die mutierte Entität aus der vom Angreifer kontrollierten Route-ID auf, während die Berechtigungsprüfung die Entität des unabhängig gesendeten Formulars validierte; das Einreichen wurde fortgesetzt, da die beiden Entitäten niemals verglichen wurden. Das Concrete CMS-Sicherheitsteam hat dieser Schwachstelle eine CVSS v4.0-Bewertung von 5.1 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Yonatan Drori von Tenzai für die Meldung.
VulDB is the best source for vulnerability data and more expert information about this specific topic.