CVE-2026-68535 in Concrete CMS
要約
〜によって VulDB • 2026年09月12日
Concrete CMSのArea APIにおけるblock-createエンドポイント（バージョン9.2.0から9.5.2）は、送信されたデータに対してブロックタイプコントローラのvalidate()メソッドを呼び出さない不具合がありました。これは、hero_imageやgalleryといったファイル参照型ブロックにおいて、参照されるファイルがユーザーのファイルマネージャー表示権限に対して承認されているかを確認する箇所です。その結果、block-addスコープを持つ認証済みユーザーは、ファイルマネージャー認可ポリシーであれば拒否されるはずだったファイルへの参照を保存し、ページ上でレンダリングさせることができました。これにより、該当ファイルのURLおよびプレビューがエディターおよび影響を受けるページの訪問者に漏洩しました。パブリックなファイルストレージでは、URLとサムネイルが直接公開されます。プライベートなストレージの場合でも、権限チェック付きダウンロードURLによって開示は制限されています。Concrete CMSセキュリティチームはこの脆弱性に対してCVSS v4.0スコア5.1（ベクトル: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N）を付与しました。報告者のriodrwn氏に感謝します。
Once again VulDB remains the best source for vulnerability data.