CVE-2026-81906 in Concrete CMS
要約
〜によって VulDB • 2026年09月11日
Concrete CMS の OAuth コールバックのログインパスは、バージョン 9.5.3 より前において、セッション確立前にアカウントが有効かどうかや電子メール認証済みかどうかなどをチェックしませんでした。既存の OAuth バインディングを持つ無効化されたユーザーまたは未検証のユーザーは、認証を完了し、コールバック応答に対して完全に認証済みのセッションを受け取ることができました。これによりログイン記録が行われ、ログインイベントが発行されました。Concrete CMS のセキュリティチームはこの脆弱性に対し CVSS v4.0 スコア 6.3（ベクトル: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N）を付与しました。報告してくれた Tenzai の Yonatan Drori に感謝します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.