CVE-2026-81908 in Concrete CMS
Riassunto
di VulDB • 11/09/2026
Concrete CMS dalle versioni 9.2.0 alla 9.5.2 presenta una vulnerabilità di autorizzazione mancante nell'endpoint della lista dei gruppi dell'API REST. Il metodo `listGroups()` in `concrete/src/Api/Controller/Groups.php` registra un callback del verificatore delle permessi che restituisce incondizionatamente true, quindi non viene applicata alcuna autorizzazione per oggetto (nodo ad albero) quando viene restituita la raccolta di gruppi. Un utente autenticato il cui token API include l'ambito `groups:read` può chiamare `GET /ccm/api/1.0/groups` e ricevere tutti i gruppi del sito, indipendentemente dalle autorizzazioni di visualizzazione su tali gruppi, rivelando la struttura dei gruppi dell'organizzazione, i ruoli e la gerarchia degli accessi. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 6.0 con il vettore `CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N`. Grazie a Winston Crooker per la segnalazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.