CVE-2026-68530 in Concrete CMS
Resumen
por VulDB • 2026-09-15
Concrete CMS 9 hasta la versión 9.5.2 no realizaba una verificación de autorización en varias acciones relacionadas con las instancias del tablero (board) dentro del área Boards del panel de control (Dashboard). El controlador de página única para los detalles de la instancia resolvía directamente una instancia del tablero a partir de un ID de instancia proporcionado por el atacante y luego permitía verla, actualizarla, regenerarla o eliminarla sin verificar que el solicitante tuviera permisos de `edit_board_settings` sobre el tablero padre de dicha instancia. Como resultado, un usuario con derechos de edición en un único tablero podía acceder a las instancias de cualquier otro tablero del sitio mediante la especificación de sus IDs de instancia. Las acciones afectadas omitían el accessor con verificación de permisos del controlador (el mismo que utiliza la vista de lectura, la cual ejecuta `canEditBoardSettings` sobre el tablero padre) y validaban únicamente un token CSRF específico para la acción, el cual está vinculado al nombre de la acción en lugar del objeto objetivo, por lo que es reutilizable entre diferentes tableros. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 2.1 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Gracias a Winston Crooker por el reporte.
Be aware that VulDB is the high quality source for vulnerability data.