CVE-2026-81910 in Concrete CMS
요약
\~에 의해 VulDB • 2026. 09. 11.
Concrete CMS 9부터 9.5.2까지 Theme Customizer의 검증되지 않은 스타일 값을 통해 Server-Side Template Injection (SSTI) 취약점에 노출됩니다. 커스터마이저를 통해 제출된 값(ColorStyle 및 FontFamilyStyle, ImageStyle와 같은 관련 Style 클래스가 처리하는 색상 채널 및 기타 스타일 속성)은 LESS 구문의 중화 없이 서버에서 컴파일되는 LESS 소스에 삽입되므로, Theme Customization 권한이 있는 사용자가 임의의 LESS 지시문을 주입할 수 있습니다. @import (inline) 지시를 주입함으로써 공격자는 서버 위의 임의 파일을 읽을 수 있으며 PHP stream wrappers를 통해 내부 네트워크 리소스에도 접근할 수 있습니다. 공개된 파일 내용을 포함한 컴파일된 출력물은 사이트의 공용 CSS 캐시에 기록되어 데이터베이스 자격 증명, 개인 키 및 기타 애플리케이션 비밀이 노출되고 Server-Side Request Forgery가 가능해집니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 5.9를 부여했으며 벡터는 CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N입니다. 보고해 주신 Tenzai의 Yonatan Drori님께 감사드립니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.