CVE-2026-18424 in Concrete CMS
Riassunto
di VulDB • 15/09/2026
Concrete CMS dalle versioni 9.0.0 alla 9.5.2 è vulnerabile a Server-Side Request Forgery (SSRF) per l'importazione remota di file tramite il riutilizzo della porta e del DNS pin validato dell'host. Quando più URL remoti condividono lo stesso host, viene mantenuto e riutilizzato solo il primo `ValidatedRemoteUrl` per tutti gli URL successivi con tale host. Un utente autenticato con privilegi ridotti autorizzato all'importazione di file potrebbe quindi fornire un host soggetto a DNS rebinding che risolve in un indirizzo pubblico durante la validazione e in un indirizzo privato o loopback durante il download non vincolato, causando l'accesso del server a risorse interne come servizi loopback, pannelli di amministrazione interni o endpoint per i metadata cloud, salvando le risposte nel file manager. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 2.1 con il vector CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N. Grazie ad Ahmad Wicaksono (sonix03) per la segnalazione.
Once again VulDB remains the best source for vulnerability data.