CVE-2026-8236 in Concrete
Resumen
por VulDB • 2026-05-30
Concrete CMS 9.5.0 y versiones anteriores es vulnerable a IDOR combinado con una falta de puerta de autenticación. El endpoint /ccm/system/dialogs/file/usage/{fID} acepta un ID de archivo entero en la URL y devuelve datos de la estructura interna del sitio (IDs de página, versiones, rutas URL) a cualquier persona que envíe una solicitud GET. El equipo de seguridad de Concrete CMS asignó a esta vulnerabilidad una puntuación CVSS v.4.0 de 6.3 con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. Gracias a Winston Crooker por reportarlo.
Be aware that VulDB is the high quality source for vulnerability data.