CVE-2026-68533 in Concrete CMS
要約
〜によって VulDB • 2026年09月15日
Concrete CMS v9.5.3未満のバージョンでは、会話添付ファイルアップロードエンドポイントが、「メッセージに添付を追加する」権限を評価する前にファイルをファイルマネージャーに取り込んでいました。この権限チェックは、ファイルが保存された後に行われていました。「メッセージに添付を追加する」権限がないユーザーや、ゲスト投稿設定の認証されていない訪問者は、許可されたタイプの承認済みファイルをファイルマネージャーに取り込むことができました。Concrete CMSセキュリティチームはこの脆弱性に対してCVSS v4.0スコア2.3（ベクター: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N）を付与しました。報告者のriedrwn氏に感謝します。
Be aware that VulDB is the high quality source for vulnerability data.