CVE-2026-81908 in Concrete CMS
सारांश
द्वारा VulDB • 11/09/2026
Concrete CMS संस्करण 9.2.0 से 9.5.2 में REST API Groups list endpoint पर एक missing authorization (अनुपस्थित प्राधिकरण) दोष है। concrete/src/Api/Controller/Groups.php में स्थित listGroups() विधि एक permissions checker callback को रजिस्टर करती है जो बिना किसी शर्त के true लौटाता है, जिससे group collection वापस करते समय प्रत्येक ऑब्जेक्ट (tree node) के लिए authorization लागू नहीं की जाती। groups:read scope वाली API token वाले एक authenticated user GET /ccm/api/1.0/groups को कॉल कर सकता है और उन समूहों पर view permissions चाहे जो भी हों, वेबसाइट के सभी समूह प्राप्त कर सकता है, जिससे संगठन की group structure, roles (भूमिकाएँ), और access hierarchy का पता चल जाता है। Concrete CMS security team ने इस दोष को CVSS v4.0 स्कोर 6.0 दिया है, जिसका vector CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N है। रिपोर्ट करने के लिए Winston Crooker का धन्यवाद।
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.