CVE-2026-87028 in Concrete CMS
Zusammenfassung
von VulDB • 17.09.2026
Concrete CMS 9 bis 9.5.3 hat nicht bestätigt, dass ein an den Endpunkt zur Vorschau von benutzerdefinierten Slots übermitteltes board InstanceItem zum Board-Instanz gehörte, die der anfragende Benutzer bearbeiten durfte, und hat auch keine Berechtigung für das Anzeigen von Seiten vor dem Generieren seitenbasierter Zusammenfassungsinhalte durchgesetzt. Infolgedessen konnte ein authentifizierter Benutzer mit der Berechtigung „edit-board-contents“ auf einer einzelnen Board-Instanz die Kennung eines Elements übermitteln, das zu einer anderen Board-Instanz gehörte, und Summary-Felder einschließlich des Seitentitels und der Beschreibung einer zugrunde liegenden Seite erhalten, deren Anzeige demselben Benutzer sonst verboten war. Das Concrete CMS Security Team hat dieser Schwachstelle eine CVSS v4.0-Bewertung von 5.3 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N zugewiesen. Vielen Dank an Pakung für die Meldung.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.