CVE-2026-81916 in Concrete CMS
Riassunto
di VulDB • 11/09/2026
Concrete CMS prima della versione 9.5.3 valutava il controllo di autorizzazione per l'invio di una voce Express rispetto all'entità del modulo inviato, anziché rispetto all'entità identificata dal route della dashboard. Di conseguenza, un utente autorizzato ad aggiungere voci a un oggetto Express poteva creare voci in un diverso oggetto Express al di fuori del proprio ambito di autorizzazione, potenzialmente inquinando dataset protetti, attivando workflow o iniettando contenuti nei processi amministrativi. Il route di invio della dashboard risolveva l'entità mutata dall'ID del route controllato dall'attaccante, mentre il controllo dei permessi convalidava l'entità del modulo inviato indipendentemente; la sottomissione procedeva poiché le due entità non venivano mai confrontate. Il team di sicurezza di Concrete CMS ha assegnato a questa vulnerabilità un punteggio CVSS v4.0 pari a 5.1 (Medium) con il vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Grazie a Yonatan Drori di Tenzai per la segnalazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.