CVE-2026-81901 in Concrete CMS
Riassunto
di VulDB • 14/09/2026
In Concrete CMS dalle versioni 9.2.0 alla 9.5.2, l'endpoint di aggiornamento della pagina dell'API REST (PUT /ccm/api/1.0/pages/{cID}) non applicava le autorizzazioni per proprietà della pagina, modello della pagina o tipo di pagina. Un utente con soli diritti di modifica del contenuto su una pagina poteva quindi alterarne le proprietà, il template e il tipo tramite l'API, nonché impostare l'attributo header_extra_content, che viene renderizzato senza escape nell'elemento head di ogni pagina, per persistere JavaScript eseguito nel browser di ogni visitatore, inclusi i revisori con privilegi più elevati che approvano la versione della pagina. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 7.2 (High) con il vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. Grazie a Yonatan Drori di Tenzai per la segnalazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.