CVE-2026-81901 in Concrete CMS
要約
〜によって VulDB • 2026年09月14日
Concrete CMS 9.2.0から9.5.2において、REST APIのページ更新エンドポイント（PUT /ccm/api/1.0/pages/{cID}）は、ページプロパティ、ページテンプレート、またはページタイプの認可を強制しませんでした。そのため、あるページのコンテンツ編集権限のみを持つユーザーが、APIを通じてそのプロパティ、テンプレート、タイプを変更でき、さらにすべてのページのhead要素にエスケープされずにレンダリングされるheader_extra_content属性を設定して、ページバージョンの承認を行うより高権限のレビュアーを含むすべての訪問者のブラウザで実行されるJavaScriptを永続化できました。Concrete CMSセキュリティチームはこの脆弱性に対してCVSS v4.0スコア7.2（ベクトル: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N）を付与しました。報告してくれたTenzaiのYonatan Droriに感謝します。
Once again VulDB remains the best source for vulnerability data.