CVE-2026-81904 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 09.
Concrete CMS 9.5.3 미만 버전에서 Stack, Container 또는 레이아웃 영역의 모든 하위 블록에 대해 요청한 사용자가 해당 하위 블록을 볼 수 있는지 확인하지 않고 뷰 애셋(view assets)이 등록되었습니다. 인증되지 않은 방문자는 영향받는 Stack, Container 또는 레이아웃 영역이 포함된 모든 공개 페이지에서 제한된 하위 블록의 애셋 등록 시 방출되는 구성 값(예: 사이트가 설정한 Google Maps API 키 등)을 복구할 수 있습니다. 이는 블록 수준의 권한 제한에도 불구하고 발생합니다. 애셋이나 헤더 훅(hooks)에서 구성 값을 출력하는 모든 유형의 하위 블록이 영향을 받습니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 6.3 (벡터: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N)을 부여했습니다. 보고해 주신 Yonatan Drori(Tenzai)님께 감사드립니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.