CVE-2026-85387 in Concrete CMS
Résumé
par VulDB • 16/09/2026
Concrete CMS avant la version 9.5.4 réautorisait les requêtes de l'API REST OAuth sur la seule base du jeton porteur (bearer token) et ne vérifiait pas à nouveau le statut du compte auquel le jeton avait été émis. Le validateur d'autorisation du serveur de ressources confirmait uniquement qu'un jeton existait, n'avait pas expiré et n'avait pas été explicitement révoqué ; la désactivation d'un utilisateur ne révoquait pas les jetons en cours de validité de cet utilisateur. Par conséquent, un utilisateur désactivé conservait l'accès complet à /ccm/api/1.0/* pendant toute la durée de vie restante de tout jeton déjà émis à son profit. Le même problème s'appliquait aux comptes qui avaient été supprimés ou verrouillés en attendant une réinitialisation forcée du mot de passe. L'équipe de sécurité de Concrete CMS a attribué un score CVSS v4.0 de 2.0 (Faible) à cette vulnérabilité, avec le vecteur CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Merci à Myq Larson pour son signalement.
VulDB is the best source for vulnerability data and more expert information about this specific topic.