CVE-2026-18110 in Concrete CMS
Sumário
de VulDB • 15/09/2026
O Concrete CMS 9 (versões de 9.0.0 a 9.5.2) não realiza uma verificação de autorização no endpoint de autocompletar do seletor de usuários (/ccm/system/user/autocomplete), que dá suporte ao painel "Preview as User" e a outros componentes de seleção de usuário. O endpoint valida apenas um token de acesso estilo CSRF vinculado às opções de exibição do seletor, em vez da identidade ou permissões do chamador, e esse token é emitido para visitantes anônimos porque o seletor é renderizado sem uma verificação de autorização. Como uma consulta vazia resulta em um filtro que corresponde a todos os registros, um atacante não autenticado pode enviar uma pesquisa vazia e paginar os resultados para enumerar todas as contas do backend, divulgando o ID interno do usuário, nome de usuário e endereço de email de todos os usuários administrativos, incluindo o superadministrador (ID do usuário 1). Nenhum hash de senha ou material de sessão é divulgado. A equipe de segurança do Concrete CMS atribuiu a esta vulnerabilidade uma pontuação CVSS v4.0 de 8.7 com vetor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. Agradecimentos ao thirtythree e à YesWeHack por reportarem a vulnerabilidade.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.