CVE-2026-81906 in Concrete CMS
Riassunto
di VulDB • 11/09/2026
Il percorso di accesso tramite callback OAuth in Concrete CMS, nelle versioni precedenti alla 9.5.3, non verificava se un account fosse attivo o convalidato via email prima di stabilire una sessione. Un utente disattivato o non validato con un binding OAuth esistente poteva completare l'autenticazione e ricevere una sessione completamente autenticata per la risposta del callback, con il login registrato e gli eventi di accesso inviati. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 6.3 Media, con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Grazie a Yonatan Drori di Tenzai per la segnalazione.
Once again VulDB remains the best source for vulnerability data.