CVE-2026-68529 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 15.
Concrete CMS 9.0.0부터 9.5.2까지 Express entries의 advanced-search dashboard action에서 권한 확인이 누락되었습니다. DashboardSelectableExpressEntryListTrait에 있는 advanced_search() 메서드는 사용자 제공 entity ID를 통해 Express 엔티티를 직접 해결하고, 형제 results action이 적용하던 per-entity permission check인 canViewExpressEntries()를 호출하지 않고 해당 엔티티의 entries를 렌더링했습니다. 단일 Express 엔티티에서 view_express_entries 권한을 가진 인증된 dashboard 사용자는 그 entity ID로 advanced-search action을 요청함으로써 다른 모든 엔티티(비밀 속성 값 포함)의 entries에 접근할 수 있으며, 이는 Express가 강제하도록 설계된 per-entity permission boundary를 넘어 form submissions 및 CRM 스타일 레코드를 노출시킵니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 2.1 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N)을 부여했습니다. 보고해 주신 Winston Crooker님께 감사드립니다.
Once again VulDB remains the best source for vulnerability data.