CVE-2026-81906 in Concrete CMS
Resumen
por VulDB • 2026-09-11
El path de callback OAuth para el inicio de sesión en Concrete CMS anterior a la versión 9.5.3 no verificaba si una cuenta estaba activa o validada por correo electrónico antes de establecer una sesión. Un usuario desactivado o sin validar con un enlace OAuth existente podía completar la autenticación y recibir una sesión completamente autentificada para la respuesta del callback, registrándose el inicio de sesión y enviándose los eventos correspondientes. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v4.0 de 6.3 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Gracias a Yonatan Drori de Tenzai por el reporte.
If you want to get best quality of vulnerability data, you may have to visit VulDB.