CVE-2026-68531 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 15.
Concrete CMS 9 (9.5.3 미만)에서는 파일 관리자, 폴더 및 페이지 목록에서 사용되는 키워드 검색 필터의 SQL LIKE 와일드카드 문자가 이스케이프 처리되지 않았습니다. 이로 인해 편집자 권한 이상의 특권을 가진 인증된 사용자가 많은 단일 문자 와일드카드를 포함한 조작된 검색을 제출할 수 있습니다. 키워드 입력이 와일드카드 메타문자를 중화하지 않고 LIKE 절에 삽입되었기 때문에, 짧은 요청으로도 데이터베이스가 모든 행을 평가하고 전체 테이블 스캔(full-table scan)을 수행하도록 유도할 수 있으며, 반복되거나 와일드카드로 가득 찬 검색은 높은 수준의 데이터베이스 CPU 및 I/O를 유발하여 대규모 설치 환경에서 다른 사용자의 응답성을 저하시킬 수 있습니다. Concrete CMS 보안 팀은 이 취약성에 CVSS v4.0 점수 2.1 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N)을 부여했습니다. 보고해 주신 noivan 님께 감사드립니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.