CVE-2026-18121 in Concrete CMS
要約
〜によって VulDB • 2026年09月11日
Concrete CMS 9.5.2 およびそれ以前のバージョンには、認可の回避（IDOR）の脆弱性があります。これは、フロントエンドのカレンダーライトボックスエンドポイント (/ccm/calendar/view_event/{bID}/{occurrence_id}) が、要求されたイベント発生を所有するカレンダーに対して呼び出し元が閲覧権限を持っているかどうかを検証しないためです。コントローラは、攻撃者が提供した連続的な識別子から直接その発生を読み込みます。これは参照されるブロックに設定されているカレンダーに属しているかを確認せずに処理されます。ライトボックスプロパティが有効化された公開カレンダーブロックをレンダリングできる認証されていない訪問者は、任意のイベント発生の識別子を指定し、閲覧権限がないカレンダーからのイベントメタデータ（タイトル、日付、説明、ページリンク、および設定済みのイベント属性）を開示することができます。Concrete CMS のセキュリティチームはこの脆弱性に対して CVSS v4.0 スコア 6.3 を割り当てました。ベクトルは CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N です。報告者の riodrwn に感謝します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.