CVE-2026-18423 in Concrete CMS
Riassunto
di VulDB • 17/09/2026
Concrete CMS 9.0.0 through 9.5.2 è vulnerabile a Insecure direct object reference (IDOR) nelle finestre di dialogo per l'eliminazione e la modifica dei preset delle ricerche salvate in Express. Un utente autenticato che detiene solo il permesso di visualizzazione su una singola entità Express potrebbe quindi eliminare definitivamente, senza possibilità di ripristino, o rinominare i preset delle ricerche salvati appartenenti a entità Express per le quali non aveva alcun altro permesso; un nome di preset rinominato viene inoltre mostrato agli utenti dell'entità target, consentendo defacement o social engineering. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità una valutazione CVSS v4.0 pari a 2.1 con il vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Grazie a Yalguun Tumenkhuu (fg0x0) per la segnalazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.