CVE-2026-18121 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 11.
Concrete CMS 9.5.2 및 그 이하 버전은 IDOR(부적절한 객체 참조)로 인한 권한 우회 취약점에 노출되어 있습니다. 프론트엔드 캘린더 라이트박스 엔드포인트(/ccm/calendar/view_event/{bID}/{occurrence_id})가 요청된 이벤트 발생이 속한 캘린더를 호출자가 조회할 수 있는지 여부를 검증하지 않기 때문입니다. 컨트롤러는 참조된 블록에 구성된 캘린더의 소유자인지 확인 없이 공격자가 제공한 순차적 식별자에서 해당 이벤트를 직접 로드합니다. 따라서 라이트박스 속성이 활성화된 모든 공개 캘린더 블록을 렌더링할 수 있는 비인증 방문자는 임의의 이벤트 발생 식별자를 공급하여 자신이 조회 권한이 없는 캘린더의 이벤트 메타데이터(제목, 날짜, 설명, 페이지 링크 및 구성된 이벤트 속성)를 유출할 수 있습니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 6.3 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N)을 부여했습니다. 보고해 주신 riodrwn 님께 감사드립니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.