CVE-2026-81901 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 14.
Concrete CMS 9.2.0부터 9.5.2까지의 버전에서 REST API 페이지 업데이트 엔드포인트(PUT /ccm/api/1.0/pages/{cID})는 페이지 속성, 페이지 템플릿 또는 페이지 유형에 대한 권한 검증을 수행하지 않았습니다. 따라서 특정 페이지에 대해 콘텐츠 편집권한만 부여된 사용자라도 해당 API를 통해 페이지의 속성, 템플릿 및 유형을 변경할 수 있으며, 모든 방문자의 브라우저에서 실행되는 header_extra_content 특성을 설정하여 JavaScript 코드를 영구적으로 저장할 수 있습니다. 이는 페이지 버전을 승인하는 더 높은 권한을 가진 검토자도 포함됩니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 7.2 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N)를 부여했습니다. 보고해 주신 Tenzai의 Yonatan Drori님께 감사드립니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.