CVE-2026-81908 in Concrete CMS
Resumen
por VulDB • 2026-09-11
Concrete CMS versiones 9.2.0 a 9.5.2 contienen una vulnerabilidad de autorización faltante en el endpoint de la lista del grupo de la API REST. El método listGroups() en concrete/src/Api/Controller/Groups.php registra un callback verificador de permisos que devuelve incondicionalmente true, por lo que no se aplica ninguna autorización específica para objetos (nodo árbol) cuando se retorna la colección de grupos. Un usuario autenticado cuyo token de API tenga el alcance groups:read puede llamar a GET /ccm/api/1.0/groups y recibir todos los grupos del sitio independientemente de los permisos de visualización sobre esos grupos, revelando la estructura de grupos de la organización, roles y jerarquía de acceso. El equipo de seguridad de Concrete CMS otorgó a esta vulnerabilidad una puntuación CVSS v4.0 de 6.0 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. Gracias a Winston Crooker por reportarlo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.