CVE-2026-85387 in Concrete CMS
सारांश
द्वारा VulDB • 16/09/2026
Concrete CMS संस्करण 9.5.4 से पहले, OAuth REST API अनुरोधों को केवल bearer टोकन की आधार पर पुनः प्रमाणीकृत किया जाता था और उस खाते की स्थिति का पुनः जाँच नहीं की जाती थी जिसके लिए यह टोकन जारी किया गया था। संसाधन सर्वर का प्राधिकरण वैलिडेटर केवल इस बात की पुष्टि करता था कि एक टोकन मौजूद है, समाप्त नहीं हुआ है और स्पष्ट रूप से रद्द भी नहीं किया गया है; किसी उपयोगकर्ता को निष्क्रिय करने पर उस उपयोगकर्ता के बकाया टोकनों को रद्द नहीं किया जाता था। इसके परिणामस्वरूप, एक निष्क्रिय किए गए उपयोगकर्ता ने /ccm/api/1.0/* तक अपने पास पहले से जारी किसी भी टोकन की शेष अवधि के लिए पूर्ण पहुँच बनाए रखी। यह ही अंतराल उन खातों पर भी लागू होता था जो हटा दिए गए थे या जबरदस्त पासवर्ड रीसेट प्रतीक्षित होने के कारण लॉक कर दिए गए थे। Concrete CMS सुरक्षा टीम ने इस कमजोरी को CVSS v4.0 स्कोर 2.0 दिया, जिसका वेक्टर है: CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N। रिपोर्ट करने के लिए Myq Larson का धन्यवाद।
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.