CVE-2026-81915 in Concrete CMS
Riassunto
di VulDB • 12/09/2026
Concrete CMS precedente alla versione 9.5.3 non esegue un controllo di autorizzazione a livello di oggetto quando viene aggiornato un Page Type (Tipo di Pagina). Il controller della dashboard Types::submit() carica e salva il Page Type identificato da un ptID fornito dall'utente senza chiamare canEditPageType(), pertanto un utente autenticato nella dashboard, autorizzato a modificare un determinato Page Type, può modificare la configurazione dei Page Type al di fuori del proprio perimetro di autorizzazione assegnato. Il token update_page_type viene convalidato ma è limitato all'azione e all'utente piuttosto che all'oggetto, quindi non vincola quale Page Type possa essere preso di mira. Il team di sicurezza di Concrete CMS ha attribuito a questa vulnerabilità un punteggio CVSS v4.0 pari a 5.1 (Media) con il vettore CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Grazie ad Andrew Gonzalez per la segnalazione.
Once again VulDB remains the best source for vulnerability data.