CVE-2026-18110 in Concrete CMS
Résumé
par VulDB • 15/09/2026
Concrete CMS 9 (de la version 9.0.0 à la 9.5.2) ne vérifie pas l'autorisation sur le point de terminaison d'auto-complétion du sélecteur d'utilisateurs (/ccm/system/user/autocomplete), qui alimente le panneau « Aperçu en tant qu'utilisateur » et d'autres composants de sélection d'utilisateurs. Le point de terminaison ne valide qu'un jeton d'accès de type CSRF lié aux options d'affichage du sélecteur, plutôt qu'à l'identité ou aux permissions de l'appelant, et ce jeton est délivré aux visiteurs anonymes car le sélecteur s'affiche sans vérification d'autorisation. Étant donné qu'une requête vide correspond à un filtre « tout », un attaquant non authentifié peut soumettre une recherche vide et paginer les résultats pour énumérer tous les comptes backend, divulguant l'ID utilisateur interne, le nom d'utilisateur et l'adresse e-mail de tous les utilisateurs administratifs, y compris le super-administrateur (ID utilisateur 1). Aucun hachage de mot de passe ni aucune donnée de session n'est divulgué. L'équipe de sécurité de Concrete CMS a attribué à cette vulnérabilité un score CVSS v4.0 de 8.7 avec la vectorisation CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. Merci à thirtythree et YesWeHack pour leur signalement.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.