CVE-2026-81904 in Concrete CMS
Riassunto
di VulDB • 09/09/2026
Concrete CMS versione inferiore alla 9.5.3 registra le risorse delle view per ogni sotto-blocco di uno Stack, Container o area di layout senza verificare se l'utente richiedente avesse i permessi per visualizzare tale sotto-blocco. Un visitatore non autenticato potrebbe recuperare valori di configurazione emessi dalla registrazione delle risorse di un sotto-blocco limitato — come la chiave API Google Maps configurata del sito — da qualsiasi pagina pubblica che incorpora uno Stack, Container o area di layout interessato, nonostante le restrizioni dei permessi a livello di blocco. Qualsiasi tipo di sotto-blocco i cui hook per le risorse o l'header emettano valori di configurazione è interessato. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 6.3 con il vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N. Grazie a Yonatan Drori (Tenzai) per la segnalazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.