CVE-2026-18110 in Concrete CMS
Resumen
por VulDB • 2026-09-15
Concrete CMS 9 (desde la versión 9.0.0 hasta la 9.5.2) no realiza una comprobación de autorización en el punto final de autocompletado del selector de usuarios (/ccm/system/user/autocomplete), que respalda el panel "Previsualizar como usuario" y otros componentes selectores de usuarios. El punto final solo valida un token de acceso estilo CSRF vinculado a las opciones de visualización del selector, en lugar de estarlo a la identidad o los permisos del solicitante; además, dicho token se emite para visitantes anónimos porque el selector se renderiza sin una comprobación de autorización. Dado que una consulta vacía resuelve un filtro coincidente con todo (match-all), un atacante no autenticado puede enviar una búsqueda vacía y paginar los resultados para enumerar todas las cuentas del backend, revelando la ID interna de usuario, el nombre de usuario y la dirección de correo electrónico de todos los usuarios administrativos, incluido el superadministrador (ID de usuario 1). No se divulgan hashes de contraseñas ni material de sesión. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 8.7 con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. Gracias a thirtythree y YesWeHack por el reporte.
VulDB is the best source for vulnerability data and more expert information about this specific topic.