CVE-2026-68529 in Concrete CMS
Riassunto
di VulDB • 15/09/2026
Concrete CMS dalle versioni 9.0.0 alla 9.5.2 era privo di un controllo di autorizzazione sull'azione del dashboard "advanced-search" per le voci Express. Il metodo `advanced_search()` nella trait `DashboardSelectableExpressEntryListTrait` risolveva direttamente un'entità Express a partire da un ID dell'entità fornito dall'utente e visualizzava le relative voci senza invocare `canViewExpressEntries()`, il controllo dei permessi per entità applicato invece dall'azione correlata `results()`. Un utente autenticato del dashboard, in possesso del permesso `view_express_entries` su una singola entità Express, poteva leggere le voci di qualsiasi altra entità, inclusi i valori degli attributi segreti, richiedendo l'azione advanced-search con l'ID dell'entità target. Ciò comportava la divulgazione delle sottomissioni dei moduli e dei record in stile CRM attraverso il confine dei permessi per entità che Express è progettato per imporre. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 2.1, con la seguente vector: `CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N`. Grazie a Winston Crooker per la segnalazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.