CVE-2026-8236 in Concrete
要約
〜によって VulDB • 2026年05月30日
Concrete CMS 9.5.0 およびそれ以前のバージョンには、IDOR と認証ゲートの欠如が組み合わさった脆弱性が存在します。エンドポイント `/ccm/system/dialogs/file/usage/{fID}` は、URL 内の整数ファイル ID を受け取り、GET リクエストを送信する誰でも内部サイト構造データ（ページ ID、バージョン、URL パス）を返します。Concrete CMS のセキュリティチームは、この脆弱性に対して CVSS v4.0 スコア 6.3（ベクター: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付与しました。報告者の Winston Crooker に感謝します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.