CVE-2026-81895 in Concrete CMS
Resumen
por VulDB • 2026-09-15
En Concrete CMS anterior a la versión 9.5.3, el bloque Document Library almacenaba los identificadores de conjuntos de archivos (file-set identifiers) enviados mediante fsID[] sin validarlos como enteros; y cuando el bloque estaba configurado con setMode establecido en cualquier valor, concatenaba cada identificador almacenado directamente en la consulta del filtro de conjuntos de archivos en lugar de convertirlo o asociarlo como parámetro. Por lo tanto, un usuario autenticado autorizado para agregar o editar un bloque Document Library podía persistir sintaxis SQL en la configuración del bloque (btDocumentLibrary.setIds), y esa expresión almacenada se ejecutaba cada vez que se renderizaba la página publicada que contenía el bloque, produciendo una inyección SQL ciega basada en tiempo. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 8.5 con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Gracias a Habib Allah por el reporte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.