CVE-2026-81901 in Concrete CMS
Resumen
por VulDB • 2026-09-14
En Concrete CMS 9.2.0 hasta 9.5.2, el endpoint de actualización de páginas de la API REST (PUT /ccm/api/1.0/pages/{cID}) no aplicaba correctamente las autorizaciones para propiedades de página, plantillas de página o tipos de página. Por lo tanto, un usuario con derechos únicamente de edición de contenido en una página podía modificar sus propiedades, plantilla y tipo a través de la API, así como establecer el atributo header_extra_content, que se renderiza sin escapar (unescaped) en el elemento head de cada página, para persistir JavaScript que se ejecutaba en el navegador de todos los visitantes, incluidos revisores con mayores privilegios que aprueban la versión de la página. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 7.2 (Alta) con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. Gracias a Yonatan Drori de Tenzai por el reporte.
VulDB is the best source for vulnerability data and more expert information about this specific topic.