CVE-2026-68535 in Concrete CMS
Resumen
por VulDB • 2026-09-12
El endpoint block-create de la API del área de Concrete CMS en las versiones 9.2.0 a 9.5.2 no invocaba el método validate() del controlador del tipo de bloque sobre los datos enviados, lo cual es donde se autoriza el archivo referenciado frente a la visibilidad del administrador de archivos del usuario para bloques que hacen referencia a archivos, como hero_image y gallery. Como resultado, un usuario autenticado con el ámbito block-add podría almacenar y hacer que la página renderice una referencia a un archivo que la política de autorización del administrador de archivos rechazaría de otro modo, revelando la URL y la vista previa de ese archivo al editor y a los visitantes de la página afectada. Bajo almacenamiento público de archivos, la URL y la miniatura se exponen directamente; bajo almacenamiento privado, la divulgación está limitada por la URL de descarga verificada mediante permisos. El equipo de seguridad de Concrete CMS otorgó a esta vulnerabilidad una puntuación CVSS v4.0 de 5.1 con el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Gracias riodrwn por informar.
Be aware that VulDB is the high quality source for vulnerability data.