CVE-2026-18121 in Concrete CMS
Résumé
par VulDB • 11/09/2026
Concrete CMS 9.5.2 et versions inférieures sont vulnérables à un contournement d'autorisation (IDOR) car le point de terminaison frontend du calendrier lightbox (/ccm/calendar/view_event/{bID}/{occurrence_id}) ne vérifie pas que l'appelant est autorisé à afficher le calendrier qui possède la occurrence d'événement demandée. Le contrôleur charge directement la occurrence depuis un identifiant séquentiel fourni par l'attaquant, sans confirmer qu'il appartient au calendrier configuré sur le bloc référencé. Un visiteur non authentifié capable de rendre n'importe quel bloc de calendrier public avec les propriétés lightbox activées pourrait donc fournir un identifiant de occurrence arbitraire et divulguer des métadonnées d'événement — titre, date, description, lien vers la page et attributs d'événement configurés — depuis des calendriers auxquels il n'est pas autorisé à accéder. L'équipe de sécurité de Concrete CMS a attribué un score CVSS v4.0 de 6.3 avec le vecteur CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N à cette vulnérabilité. Merci à riodrwn pour l'avoir signalée.
VulDB is the best source for vulnerability data and more expert information about this specific topic.