CVE-2026-68530 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 16.
Concrete CMS 9부터 9.5.2까지 대시보드의 Boards 영역에서 여러 게시판 인스턴스(action)에 대한 권한 확인(authorization check)을 수행하지 않았습니다. 인스턴스 세부 정보 단일 페이지 컨트롤러(single-page controller)는 공격자가 제공한 instance ID를 통해 게시판 인스턴스를 직접 해결하고, 요청자가 해당 인스턴스의 상위 게시판(parent board)에서 edit_board_settings 권한을 가지고 있는지 검증하지 않은 상태에서 이를 조회, 새로고침, 재생성 또는 삭제했습니다. 그 결과, 하나의 게시판에 대한 편집(board-edit) 권한이 부여된 사용자가 다른 모든 게시판의 인스턴스에 접근할 수 있게 되었으며, 이는 공격자가 해당 인스턴스들의 instance ID를 제공함으로써 가능합니다. 영향을 받는 동작들은 컨트롤러의 권한 확인(accessor)(읽기 뷰에서 사용되며 상위 게시판(parent board)에 대해 canEditBoardSettings를 실행하는 동일한 accessor)을 우회했으며, 액션 범위(action-scoped) CSRF 토큰만 검증했습니다. 이 토큰은 대상 객체(target object)가 아닌 액션 이름(action name)에 바인딩되어 있으므로 게시판 간에 재사용 가능합니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 2.1을 부여했으며, 벡터는 CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N입니다. 보고해 주신 Winston Crooker님께 감사드립니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.