CVE-2026-68530 in Concrete CMS
Riassunto
di VulDB • 15/09/2026
Concrete CMS dalle versioni 9 alla 9.5.2 non eseguiva un controllo di autorizzazione su diverse azioni relative alle istanze delle bacheche nell'area Boards della Dashboard. Il controller single-page per i dettagli dell'istanza risolveva direttamente l'istanza della bacheca a partire da un ID fornito dall'attaccante e successivamente la visualizzava, aggiornava, rigenerava o eliminava senza verificare che il richiedente disponesse del permesso `edit_board_settings` sulla bacheca genitore dell'istanza. Di conseguenza, un utente con diritti di modifica su una singola bacheca poteva accedere alle istanze di qualsiasi altra bacheca sul sito fornendo i relativi ID delle istanze. Le azioni colpite bypassavano l'accessor controllato dai permessi del controller (lo stesso accessor utilizzato dalla vista di lettura, che esegue `canEditBoardSettings` sulla bacheca genitore) e validavano esclusivamente un token CSRF specifico per l'azione, il quale è legato al nome dell'azione piuttosto che all'oggetto target ed è quindi riutilizzabile tra diverse bacheche. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 2.1 con la vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Grazie a Winston Crooker per la segnalazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.